「安全なはず」が通用しない時代の守り方｜PHP2Shellから考える、セキュリティとの向き合い方

2026年10月、世界中で利用されているプログラミング言語「PHP」に、重大な脆弱性が見つかりました。

「CVE-2026-109618」「CVE-2026-109619」。通称、PHP2Shell。外部から不正にプログラムを実行されるおそれがある、非常に深刻な問題です。

ただ、今回私たちが特に気になったのは、その深刻さだけではありません。

少なくとも10年以上前から存在していた可能性のある問題が、最先端のAIを使った調査によって見つかった、と報じられていること。新しく生まれた問題ではなく、ずっと前から存在していた弱点が、今になって明らかになったわけです。

そして、これはPHPだけの話ではありません。

ほかのプログラミング言語やソフトウェアにも、同じように弱点が潜んでいる可能性はあります。ただ、まだ見つかっていないだけ、というケースも多いのではないでしょうか。

むしろ、世界中で広く使われている有名なPHPだからこそ、多くの人の目で調べられ、脆弱性が見つかり、広く知られ、修正版が公開されて対策できた。そう考えることもできます。

大切なのは、どんな技術を使っていても「脆弱性は見つかるもの」と受け止めて、見つかったときにすぐ動ける状態にしておくこと。「これまで」と「これから」で、セキュリティに対する意識を少し変える必要がある。今回の出来事は、そんなことを考えさせられる象徴的なニュースでした。

※ 発見の経緯や存在していた期間は、各社の発表・報道に基づきます（出典は記事の末尾）。

脆弱性は、突然生まれるわけではありません。

そもそも脆弱性とは、システムやソフトウェアにあるセキュリティ上の弱点のことです。

家に例えるなら、玄関にはしっかり鍵がかかっているのに、換気口や配管から侵入できてしまうようなもの。つくった側が想定していなかった場所に、思わぬ抜け道があるかもしれないのです。

そして、ここが大切なところ。

脆弱性が見つかっていないことと、脆弱性が存在しないことは、まったく違います。何年も前から存在していた弱点が、ある日突然、見つかることがあります。昨日まで何の問題もなく動いていたシステムが、今日も安全とは限りません。

そして、おそらくこうした発見は、これからも続いていくでしょう。新しい技術だけが危険なのではありません。むしろ、長年使われてきたソフトウェアや機器にも、まだ見つかっていない弱点があるかもしれません。

古いから安心。今まで問題がなかったから安心。そんな考え方も、少し見直す必要がありそうです。

危険にさらされるのは、サーバーだけではありません。

脆弱性と聞くと、Webサイトやサーバーの話だと思われるかもしれません。でも、実はそれだけではありません。

WebサーバーやOS、データベースはもちろん、Wi-Fiルーター、無線LANのアクセスポイント、ネットワークカメラ、スマート家電、IoT機器、複合機、監視設備など。今では、身の回りにある本当にたくさんの機器がネットワークにつながっています。そして、そのほとんどにソフトウェアが組み込まれています。

• Webサーバー・OS・データベース
• Wi-Fiルーター
• アクセスポイント
• ネットワークカメラ
• スマート家電
• IoT機器
• 複合機
• 監視設備

便利な時代になりましたが、その分、攻撃される可能性のある場所も増えました。例えば、管理が行き届いていないネットワーク機器が侵入のきっかけになり、そこから別の機器やシステムに被害が広がることも考えられます。

AIの進化が、脅威を変えていく。

AIの進化には、私たちも日々驚かされています。これまで何時間もかかっていた調査や分析が、あっという間にできるようになりました。開発の現場でも、AIは欠かせない存在になりつつあります。

ただ、少し考えてみると、この便利な技術を使えるのは、私たちのような開発者だけではありません。攻撃する側も、同じようにAIを使えるわけです。

これまで専門的な知識や多くの時間が必要だった作業も、AIによって効率化される可能性があります。特に気になるのは、これまで見過ごされてきた弱点が、AIによって次々と見つかるようになるかもしれないこと。

• 何年も前につくられたソフトウェア
• 長い間アップデートされていない機器
• これまで何の問題もなかったシステム

そうしたものが、ある日突然、攻撃の対象になるかもしれません。守る側だけでなく、攻撃する側も進化している。しかも、ものすごい速さで。

もちろん、AIによって脆弱性が早く見つかること自体は、良いことでもあります。ただ、その発見が悪用される可能性もある。そんな時代になってきたのだと思います。

すべてのシステムに、脆弱性があると考える。

少し極端に聞こえるかもしれませんが、これからはそんな考え方も必要なのではないでしょうか。

もちろん、私たち開発者は、できる限り安全なシステムをつくる努力を続けています。設計や開発の段階からセキュリティを考え、問題が起きないようにする。それは当然、大切なことです。

ただ、どれだけ丁寧につくっても、すべてのリスクをなくせるわけではありません。システムそのものだけでなく、利用しているソフトウェアやサーバー、ネットワーク機器などにも目を向ける必要があります。

大切なのは、守り続けること。

システムは、完成したら終わりではありません。公開してからが、本当の始まりです。

では、どうすればいいのでしょうか。私たちは、決して難しいことばかりではないと思っています。

それでも、すべての侵入を完全に防ぐことは難しいかもしれません。だからこそ、何かあったときに、できるだけ早く気づけることが大切です。

防ぐこと。そして、見つけること。
この両方を意識することが、これからはますます重要になっていくと思います。

外側だけでなく、内側からも守る。

ここで、もう一度、家に例えて考えてみます。玄関に頑丈な鍵をつけて、防犯カメラも設置する。もちろん、とても大切な対策です。

でも、もし換気口や配管など、思いもよらない場所から侵入されてしまったら。玄関だけを見張っていても、気づけないかもしれません。

システムも同じです。外からの不正アクセスを防ぐだけでなく、内部でおかしな動きが起きていないか。普段とは違う通信が発生していないか。万が一、侵入されてしまったとしても、できるだけ早く気づけるようにしておきたい。

外側だけでなく、内側からも見守る。
これからは、そんな考え方がもっと大切になると思っています。

AIの脅威には、AIの力で立ち向かう。

攻撃が高度になり、自動化も進んでいく中で、人の目と手だけですべてを監視するのは、なかなか難しいことです。だからこそ、守る側もAIの力を借りる必要があると考えています。

たくさんのログやアクセス情報の中から、いつもと違う動きを見つける。異常があれば、できるだけ早く知らせる。そして、人が適切に判断し、対応できるようにする。

もちろん、AIがあればすべて安心というわけではありません。人による管理や判断と、AIによる継続的な監視。それぞれの良さを組み合わせることが大切だと思っています。AIによって生まれる新しい脅威に、AIの力も借りて向き合っていく。そんな仕組みを、これから形にしていきたいと考えています。

安全を信じるのではなく、安全を守り続ける。

これから先、インターネットから脅威がなくなることは、おそらくないでしょう。新しい技術が生まれれば、新しい便利さとともに、新しいリスクも生まれます。そして、昔から使われている技術の中からも、まだ見つかっていない弱点が明らかになっていくと思います。

でも、必要以上に怖がることはないと思っています。大切なのは、そうした可能性があることを知り、できる対策を一つずつ続けていくこと。

私たちは、これからもそんな姿勢で、お客様のシステムと向き合っていきたいと思っています。