生成AIのおかげで、エンジニアじゃなくてもソフトウェアを作れる時代になりました。これ自体は本当に良いことだと思っています。業務のちょっとした困りごとを、現場の人が自分で解決できる。僕たちも研修でそれを後押ししています。
ただ、ひとつ気になっていることがあります。
セキュリティや、動かし続けるための保守運用まで考えて作っている人は、ほとんどいないんじゃないか。
作るのが簡単になったぶん、「動いた」で終わってしまう。でも、攻める側もAIを使っています。ソフトウェアのプロが、AIでより高度な攻撃を仕掛けてくる。その相手に、「動いた」止まりのソフトウェアで対抗できるとは、僕は思えません。
先週、象徴的なことが起きました
2026年10月21日、PHPの開発チームが緊急のセキュリティリリースを出しました。PHP本体に、ログインなしで外からプログラムを実行されるおそれのある脆弱性が2件見つかったからです。CVE-2026-109618とCVE-2026-109619、通称「PHP2Shell」です。
項目 | 内容 |
|---|---|
深刻度 | 2件ともCVSS v4.0で9.2（Critical） |
影響 | 認証不要のリモートコード実行。WordPressやプラグインを最新にしても防げない（欠陥はPHPエンジン本体にあるため） |
修正版 | 8.5.12／8.4.27／8.3.36／8.2.35 |
国内の動き | IPAと国家サイバー統括室が注意喚起。高市首相も緊急の呼びかけ。レンタルサーバー各社やWebサービスが相次いで予防的に停止 |
PHPは日本中の企業サイトやWordPressの土台です。大騒ぎになったのを覚えている方も多いと思います。
この事件の何が「象徴的」なのか
脆弱性そのものより、発見にAIが関与していたと報じられている点です。これまで人間の研究者が何年もかけて掘っていた領域を、AIが掘り出してくる。そして見つかった穴は、AIを使う攻撃者にもすぐ届く。公表前に情報が漏れ、修正版が出る前から悪用の試みが観測されていました。
「見つける側」も「突く側」も、AIで一気に速くなった。これが今の現実です。
一番危ないのは、「まだ動いている」古いソフトウェア
今回、PHPの開発チームが修正版を出したのは8.2〜8.5系だけです。8.1以前はメーカーのサポートが終わっているので、公式の修正版はありません。それでも、8.1以前で動いているサイトは、日本にまだたくさんあります。
サポートが終わったソフトウェアは、穴が見つかっても誰も塞いでくれません。これまでは「見つかるまでに時間がかかる」という、ある種の運に守られていました。AIが穴を掘る時代には、その運がなくなります。
「まだ動くから大丈夫」が、一番危ない。
これは古いPHPだけの話じゃありません。サポートが切れたOS、更新が止まった業務システム、作った人がもう会社にいない社内ツール。全部同じです。
自社のシステムが「崖っぷち」かどうか、確認してみてください
僕たちは、「崖っぷち診断」という無料のサービスをやっています。会社で使っている古いシステムが、今どれくらい危ない状態にあるのかを、AIがその場で見える化します。費用はかかりません。オンラインで完結します。相談するかどうかは任意です。
- 自社サイトのPHPが何系で動いているか、把握していない
- 業務システムの保守を頼んでいた会社と、もう連絡が取れない
- 「触ると壊れそう」で、誰も手を入れられないシステムがある
ひとつでも当てはまるなら、一度試してみてください。
ソフトウェアの責任は、プロに取らせてください
作るのは、誰でもできる時代になりました。それは歓迎しています。
でも、作ったあとの責任は別の話です。穴が見つかったときに塞ぐ、サポートが切れる前に移す、攻撃されたときに気づく。ここは、ソフトウェアで飯を食っているプロの仕事です。
自分で作ったものでも、他社に作ってもらったものでも、「これ、誰が面倒を見ているんだっけ」と思ったら、僕たちに聞いてください。