公開日：
開発AI自動要約
PHPにおいてCVSS評価9.2の緊急レベルの重大脆弱性が2件発見され、日本時間2026年10月21日深夜に修正版が公開される。古いバージョンを使用するサイトも多く、AIエージェントによる脆弱性探索・攻撃の自動化が危険性を高めている。システム運営者は影響範囲の把握や更新対応を怠れず、AIによる運用自動化も万能ではないと指摘されている。
そんな致命的な脆弱性なのか。
2件の重大な脆弱性を修正するセキュリティアップデートを同日午後2時（日本時間の21日午後11時）に公開する
2件の脆弱性は、いずれもCVSS（バージョン4.0）で9.2と評価されている。CVSSは脆弱性の深刻度を0～10の数値で示す共通の指標で、9.0以上は最も深刻な「Critical」（緊急）に分類される。
ほか。
プログラミングから離れている時期もあったが，
ここまで「すぐにバージョンアップしてくれ」と強く呼びかける事態は，そう見かけない。
しかも今回は，脆弱性の詳細が公表される前から，更新の準備を求めている。
昨今のAIエージェントの普及とも関係しているのかしら。
脆弱性の探索や攻撃をAIエージェントが自動化すれば，
発見された脆弱性が短時間で大量のサイトに悪用されることも考えられる。
実際，AIエージェントを悪用して多数のWebサイトに侵入した事例も報道されている。
面白いことに，PHPはいまだに4.x系で動いているサイトも存在する。
Version 8 65.2%
Version 7 27.0%
Version 5 7.7%
Version 4 0.1%
「0.1%」がいまだに4系を使っているという。
PHP 4.4系のサポートが終了したのは2008年で，
18年も前のバージョンが今なお稼働している。
（そんな古くも感じなかったりするけどね。笑）
8系への移行も完全ではない。
普及率は65.2%で，まだ6割半。
さらに，同じ8系でも8.0と8.1はすでにサポートが終了。
というわけで，
VPSではなく，レンタルサーバーにしたら安全
とも限らないし，
サービスをSaaSにしたら安全
とも限らない。
もちろんレンタルサーバーやSaaSであれば，
サービス提供者が更新作業を担ってくれるという利点はある。
しかし，それは脆弱性がなくなるという意味ではなく，
サービス提供者へは更新作業の責任が生じる。
ソフトウェアには，開発時点から発見されていない脆弱性が潜在していることもある。
バグのないプログラムを作ることも，それを保証することも容易ではない。
（80年代，攻殻機動隊時代の士郎正宗から言われていたことだね。）
脆弱性が発見される都度，
システム運営者は影響範囲を確認し，必要に応じてアップデートする必要がある。
しかも，PHPのバージョンを上げることによって，
逆に，既存のプログラムが正常に動作しなくなる可能性もある。
ここが「システム運営者」の役割になり，
「AIがあれば，開発・運用者は不要」と単純にはならないのだろう。
AIによって開発や保守の作業は自動化できても，
システムを安全に稼働させ続けるという責任までなくなるわけではない。
AIエージェントにPHPの脆弱性への対応を依頼する？
影響範囲の調査，更新手順の作成，動作確認などをAIエージェントに任せる？
そんな使い方もあるかもね。