OpenAI、PHP重大脆弱性を機に5段階の対応フレームワークを提案

OpenAIは、CalifがGPT‑5.6 Solを使って発見したPHPの重大な脆弱性への対応を踏まえ、広く使われるソフトウェアの重大脆弱性に対する5段階の世界規模対応フレームワークを提案しました。OpenAIはこの問題を「近年で最も影響の大きいセキュリティ問題の一つ」と位置づけ、PHP利用組織にとって現在の優先事項は修正の適用だとしています。

PHP脆弱性対応の経緯

OpenAIは過去2か月、取り組み「Patch the Planet」を通じて、メンテナー、研究者、セキュリティ事業者の連合を主導しました。役割は次のとおりです。

主体	役割
Calif	GPT‑5.6 Solを使って重大な欠陥を発見
Wiz	2件の脆弱性を独自に発見・報告
PHPメンテナー	修正とリリースを主導
OpenAI、Wiz、Cloudflareなど	研究、技術支援、公開前の防御策準備の調整

OpenAIは、把握する限りフロンティアAIが攻撃者より先にこれらの脆弱性を見つけ、公開前に修正と防御を準備できる「Defender’s Window」が生まれたと説明しています。一方で、同じ能力が攻撃ツールやエクスプロイトの迅速な開発にも使えると述べ、今回のバグはすでに発見・修正中の複数の重大脆弱性の一部で、同様の発見は今後数か月で急増すると見込んでいます。OpenAIは米国政府ではWhite HouseのSuper Intelligence Force、ONCD、CISAのほか国際パートナーとも連携しました。

PHP利用組織の対応手順

• PHPメンテナーの公式パッチとアップグレード手順に従って更新します。
• OpenAIは脆弱な可能性のあるバージョンを確認するPHPバージョンチェッカー(GitHubのopenai/php2shell-checker)を公開し、同様の用途のCodexスキルも提供予定です。
• Patch the Planetのサイトは、暫定緩和策、プロバイダーや専門家に相談すべきタイミング、バックアップと復旧もまとめています。
• 対応速度の判断にはCISAの優先順位付け・修正ガイダンスを使えるとしています。状況により緊急パッチ、即時緩和、計画的更新を選び、必要に応じて侵害有無のフォレンジックトリアージを行います。

5段階の対応フレームワーク

段階	内容
1. 上流脆弱性の検証と修正	メンテナーらが影響を評価し修正を開発・テスト。フロンティアモデルでパッチ回避や亜種を探す敵対的テストも実施
2. 影響組織に準備時間を与える	ディストリビューターの旧リリース向け修正、ホスティング事業者の緩和策テスト、WAFルールなど検知・防止策の準備
3. 政府機関との調整	重要インフラや必須サービスの運営組織にガイダンスを届ける
4. 影響製品の更新準備	修正・公開計画が固まった段階で追加の配布元、事業者、運用者を巻き込む
5. パッチ公開後の案内と展開支援	露出評価、更新・暫定策の入手、修正の稼働確認を支援

参加者は、自社システムや顧客を守る役割、対応に必要な時間、機密情報を扱う能力で選び、誰を関与させるかはメンテナーが決めます。共有する情報は侵害指標入りのネットワークログから動作するPoCまで役割に応じて変え、限られた情報でも脆弱性が露見し得るため、保護効果とリスクを比較します。悪用の確認、情報漏えい、内容が推測できる公開パッチ、修正停滞によるリスク増大があればタイムラインを再評価します。

メンテナー支援と防御側への投資

OpenAIは資金、モデルへのアクセス、エンジニアリング支援でメンテナーを支えるとし、Codex for OSSを通じた全メンテナー向けサブスクリプションやRust Foundationへの支援を挙げています。オープンソースプロジェクトはPatch the Planetに支援を申請できます。また、Daybreak for Frontline Defendersを通じて、セキュリティ資源の限られた必須サービス保護組織向けに10億ドル分の補助付きDaybreakアクセスを提供し、悪用抑止のためのブロッキング分類器も調整中です。OpenAIはフレームワークへの意見、とくに過去の開示事例を求めています。