PHPの重大脆弱性「PHP2Shell」を発見したWizのCTOが語る、AIを使った脆弱性研究と今後の備え

全世界のWebの約70%が依存するPHPに潜んでいた2つの重大脆弱性は、銀行・病院・政府サイトを一時停止に追い込みました。TechCrunchのポッドキャスト「Equity」に、その修正作成に中心的関与したWizのCTO兼エクスポージャーマネジメント責任者トマー・シュワルツが出演し、発見から協調開示、そして漏洩した情報に追いつく形で前倒しされた修正までの経緯を振り返ります。

■ 事態の全体像
- PHPに存在した遠隔コード実行の脆弱性が、約12年分のデプロイに影響した背景
- 修正リリース前の48時間で何が起きたのか
- 漏洩情報を受けスケジュールを前倒しせざるを得なかった理由

■ AIを活用した脆弱性研究
- Wizが社内で構築した研究プラットフォームの役割と、利用しているAIモデルについて
- OpenAIやCalyxなど、複数の研究者が並行して類似の脆弱性を見つけた仕組み
- AIの発見力と人間の研究の関係、そして攻守双方への影響

■ 開発者・企業への実践的なアドバイス
- 未修正のまま残っている対象と、ホスティング大手を使う場合の注意点
- 10人規模の企業や創業初期のスタートアップに求められる修正戦略とインフラの考え方
- トマー自身の起業経験から見た、AI時代のセキュリティスタートアップのあり方

脆弱性の全容だけでなく、協調開示の実務、AIが脆弱性発見のスピードをどう変えているか、そして現場で取るべきアクションまでを一貫して扱った内容です。セキュリティ担当者、Web開発者、スタートアップの創業者・エンジニアが、次に来る同種の危機に備えるための視点を得られます。関連情報は紹介された専用サイトでも公開されています。最後まで聞いて、自組織の修正状況を確認するところまで動き出すきっかけになります。