OpenAI、PHPの重大な脆弱性を発見しPatch the Planetを提案

OpenAIは2026年10月21日、同社のモデルがWebサイトやWebアプリの運用に使われるオープンソース言語PHPの重大な脆弱性の発見につながったと発表した。OpenAIのXの投稿によると、同社のPatch the Planetの取り組みの一環で動いた研究者をモデルが支援した。PHPは推定70%のWebサイトで使われているという。 修正とリリースはPHPのメンテナーが主導した。OpenAIのチームと、WizやCloudflareなどのパートナーが調査、技術支援、開示前の防御準備を担った。米国の政府機関など複数の部門や国際パートナーとも連携している。OpenAIは、深刻度とPHPの普及度から、近年でも特に影響の大きいセキュリティ問題の一つとみている。フロンティアAIが攻撃者より先に脆弱性を見つけたことで、メンテナーや事業者が修正と防御を準備できる「Defender's Window」が生まれたと説明する。 OpenAIは今後数か月で同様の発見が急増すると見込み、五段階の対応枠組みを提案した。上流での検証と修正、影響を受ける組織への準備時間の付与、政府機関との連携、影響を受ける製品全体での更新準備、パッチ公開後のガイダンス提供と展開支援である。検証にはフロンティアモデルによる回避策や関連する変種の探索も含まれる。事前情報を受ける組織は、守る役割、対応に要する時間、機微情報を扱う能力で検討され、誰を関与させるかはメンテナーが決める。悪用の確認、情報漏えい、パッチから内容が推測される場合などには、タイムラインを見直すとしている。 支援策として、資金提供、高性能モデルへのアクセス、エンジニアリング支援を挙げた。Codex for OSSによる全メンテナー向けサブスクリプションやRust Foundationへの直接支援も含まれ、オープンソースプロジェクトはPatch the Planetに支援を申請できる。Daybreak向けには追加のブロック用分類器を調整中で、悪用防止と正当なセキュリティ作業の妨げとのトレードオフがあると述べた。また、メモリ安全な言語への移行や形式検証なども方向性として示し、開示期間、緊急パッチ、事前通知の範囲、secure-by-defaultなパッケージについてコミュニティに意見を求めている。PHPを運用する事業者は、Patch the PlanetのサイトにあるPHPの公式パッチや手順、暫定的な緩和策を確認できる。

報道をもとにAIが作成しました・5 分前更新

推移を表示するための継続的な観測データがまだ足りません。