首相が「大至急」と警告“PHP騒動”は序章だった…人間が10年見落とした欠陥をAIが数分で暴く《ネット社会崩壊》の恐怖

　「皆様に、今夜に対応して頂きたい大至急のお願いです」 　10月21日、高市早苗首相が夜間にSNSで突如、「PHPの脆弱性」の修正パッチ適用を呼びかけたことに、多くの人が驚いたのではないだろうか。一国の首相が個別のプログラム言語に言及して注意喚起を行う事態は、異例である。企業のIT部門は、週末返上で緊急対応に追われた。 ■「1つのソフトの不具合」で片付けられる話ではない 　しかし、この騒動は「1つのソフトの不具合」で片付けられる話ではない。

　「皆様に、今夜に対応して頂きたい大至急のお願いです」 　10月21日、高市早苗首相が夜間にSNSで突如、「PHPの脆弱性」の修正パッチ適用を呼びかけたことに、多くの人が驚いたのではないだろうか。一国の首相が個別のプログラム言語に言及して注意喚起を行う事態は、異例である。企業のIT部門は、週末返上で緊急対応に追われた。 ■「1つのソフトの不具合」で片付けられる話ではない 　しかし、この騒動は「1つのソフトの不具合」で片付けられる話ではない。

　実は同時期、PHPだけでなく、世界中のホームページや企業の基幹システムを動かしている「定番の土台ソフト(PHPやApache Tomcat、Node.js、Rubyなど)」で、システムの乗っ取りや情報漏洩につながりかねない重大な欠陥(脆弱性)が、たった1週間でドミノ倒しのように次々と発覚した。 　現場のエンジニアたちが直面しているのは、まさに「長年使われてきた実績あるソフト」から、毎週のように致命的な穴が見つかるという異常事態なのである。

　なぜ2026年の今になって、世界中のシステムで一斉にボロが出始めたのか。その背景には、「AI(人工知能)による弱点探しの自動化」という、サイバー空間の劇的な構造変化がある。 　これまでソフトウェアの欠陥を探す作業は、高度な知識を持つ人間の専門家が、何百万行というプログラムの設計図(コード)を目で追い、何年もかけて見つけ出す「職人技」だった。ところが現在、高性能化したAIにプログラムを読み込ませることで、人間が10年以上見落としていたような複雑な設計ミスを、わずか数分から数時間で機械的に洗い出せるようになった。

　攻撃側も防御側もAIを使って「システムの急所」を猛スピードで掘り起こす時代に入り、これまで安全だと信じられていたITインフラの前提が根底から覆されようとしている。 ■デジタル庁のAI「源内」にも潜んでいた“二重構造”の死角 　この問題は古いシステムだけにとどまらず、最新のAIシステムや、国が主導するプロジェクトも同じリスクを抱えている。象徴的な事例として、デジタル庁が進めている行政向け生成AIプロジェクト「源内(GenAI)」を巡る動きを見てみよう。

　デジタル庁は現在、省庁の業務効率化などを目的に、独自に開発した生成AI(源内)を「オープンソース」として提供し、自治体や民間への普及を図っている。 　このシステムには、現在のAIで標準的に使われている「Python(パイソン)」や「TypeScript(タイプスクリプト)」といった、比較的新しく安全性の高いプログラミング言語が採用されている。 　一見すると非の打ちどころのないシステムだが、今年8月、政府が実施したサイバーセキュリティ関連法案のパブリックコメントにおいて、この源内のリスクを指摘する専門家の意見が公式に記録された。

　そこで指摘されていたのは、現代のITシステムが抱える「見えない二重構造」の問題である。 　建物に例えてみよう。われわれが実際に目にする「地上の内装(最新のAIシステムやWebサービスなど)」は、火災や地震に強い最新の安全素材(PythonやJavaなどの新しい言語)で作られている。だからこそ、発注する経営者や官公庁の担当者も「最新の安全な技術を使っている」と安心する。 　ところが、その建物を支えている「基礎杭」や「水道管・ガス管」にあたる部分――AIの膨大な高速計算や通信データの圧縮・暗号化といった裏方をのぞいてみると、実は40〜50年前に作られた古い設計の技術(C言語やC++と呼ばれる言語)がそのまま使われているのだ。

　古い言語で作られた部品は処理スピードこそ速いものの、データの「あふれ出し」を自動で止める安全装置がないという構造的な弱点がある。そのため、「許容量(メモリ)を超えてあふれ出したデータが、隣の重要なデータを上書きして、外部からの不正操作を許してしまう」という惨事につながる。 ■「内装は最新、地下の配管は40年前」が招いた10月の混乱 　8月のパブリックコメントで「いくら表向きの言語が安全でも、裏側で古い言語に頼っている限り、システム全体の安全性は担保されない」と指摘されていた懸念は、わずか2カ月後の10月下旬、まさにそのままの形で現実のものとなった。

　10月に世界中のIT現場をパニックに陥れた一連のトラブルの多くは、まさに「古い言語製の部品」の欠陥をAIに突かれたものだったのである。 　例えば、多くの企業がWebシステムで使っている環境「Node.js」では、通信データを小さく圧縮して送るための「裏方の部品」に重大な欠陥が見つかった。開発現場のエンジニアたちは、自分たちが書いたプログラムには何のミスもないのに、裏方の「古い言語製」の部品に穴が開いていたせいで、週末返上の緊急対応に追われることになったのだ。

　また、日本の官公庁や金融機関・大企業の基幹システムで圧倒的なシェアを持つ「Java」という言語のサーバー「Apache Tomcat」でも深刻な問題が起きた。大量のアクセスを同時にさばく際、データの整理整頓が追いつかずに「Aさんの通信データとBさんの通信データが混ざってしまう」という、あってはならない欠陥がAIの監査によって暴かれたのである。 　現場のエンジニアからは、こんな悲鳴が上がっている。

　「経営陣からは『なぜ毎週のようにシステムの修正が必要なのか』『最新のAIやクラウドを使っているのに、なぜ穴が見つかるのか』と詰め寄られる。しかし、世界中が共通で使っている“土台”からAIが次々と穴を見つけ出してくる以上、現場の努力だけではどうにもならない」 ■「パッチで塞ぐ」対症療法の限界と、世界の潮流 　さらに深刻なのは、従来の「欠陥が見つかるたびに、修正プログラム(パッチ)を当てて塞ぐ」というやり方が、もはや限界を迎えていることだ。

　40年前の古い技術で作られた土台は何度も改修を重ねて複雑化しており、1つの穴を急いでパッチで塞ごうとすると、その負荷で別の場所に新しい不具合が生じてしまうことが珍しくない。 　しかも最近では、パッチを公開してすぐ、AIによって修正の甘さを解析されてしまう。現に10月の混乱でも、「パッチを当てた直後に、そのパッチ自体の不備がAIに見抜かれ、再度の緊急対応を迫られる」という、いたちごっこが発生している。

　では、企業や行政はこの「終わらないモグラ叩き」にどう立ち向かえばよいのか。 　今、アメリカ政府(ホワイトハウスやサイバーセキュリティ庁など)が国家戦略として強く打ち出しているのが、構造的にデータ破壊や混同が起きない新しい安全基準の土台「Rust=ラスト」などに代表される次世代言語へ、地下の配管ごと計画的に建て替えていくというアプローチだ。 　これは、かつて大地震を機に建築基準法が改正され、「新耐震基準」や「免震構造」のビルへと建て替えが進んだ歴史とまったく同じである。どれほど内装をリフォームしても、建物の基礎が旧耐震のままでは大地震には耐えられない。

　日本国内でも世界の潮流を受け、行政や重要インフラ企業がいかにして古い土台への依存から脱却し、サプライチェーン全体の安全性を高めるかをまとめた『Rust 政策提言2026』などが議論され始めている。 ■経営層が今、自社のIT部門に問いかけるべきこと 　今日明日ですべてのシステムを一気に建て替えることはできない。しかし、ITに詳しくない経営層や意思決定層であっても、今日から変えられることがある。 　第1に、「現場の緊急アップデート対応は、エンジニアの怠慢ではなく、世界のIT基盤がAIによって監査されるという構造変化によって起きている」という事実を理解し、セキュリティ維持のための予算と人員を「コスト」ではなく「事業継続のための必須投資」として確保することだ。

　第2に、これから新たにAIシステムや基幹システムを発注・導入する際には、「見た目の機能」や「はやりのAIを使っているか」だけでなく、「そのシステムを支える裏側の部品(サプライチェーン)まで含めて、将来にわたって安全な構造になっているか」をベンダーやIT部門に問いかけることである。 　AIがすべてのシステムの「見えないひび割れ」を瞬時に見抜く時代は、すでに始まっている。場当たり的な穴塞ぎで現場を疲弊させ続けるのか、それとも数年先を見据えて「揺れに強い土台」への転換に舵を切るのか。問われているのは、技術者の腕ではなく、経営者の視座そのものだ。