PHP2Shell後の世界：状況はさらに悪化するが、最終的には防御側が優位に立つ

【なぜ重要か】 2026年10月、PHPにおける重大なリモートコード実行脆弱性「PHP2Shell」およびBrotli圧縮ライブラリの脆弱性「HTTP2Shell」が相次いで公開され、セキュリティ・開発チームに大きな衝撃を与えた。AnthropicのDeputy CISOやCloudflareのCEOは、今後1〜2年にわたり同様のインシデントが続くと予測しており、日本のエンジニアやセキュリティ担当者も長期的な備えが求められる状況にある。

【ポイント】

• AIが攻撃を加速させている： PHP2Shellの原因となったメモリ管理バグは2024年の監査で発見されていたが、悪用可能と実証されなかったため未修正のままだった。AIがこの「未解明の挙動」から完全なリモートコード実行のPoCを生成する手助けをしており、今後も未調査のランタイムやライブラリに潜む類似の挙動がAIによって悪用される恐れがある。
• 「速く直す」だけでは不十分： Googleの元セキュリティアドバイザーAnt on Chuvakinは、攻撃者の速度に対抗して反応的な防御を速めるだけでは不十分であり、「システムが何があっても強制する不変のルール（インバリアント）」、すなわち強固なセキュリティアーキテクチャの一貫した適用が不可欠だと主張している。
• 可視性が防御の起点： PHP2Shellではコンテナベースイメージ・CIイメージ・ホスティングパネル・ベンダーソフトウェアなど、チームが想定していない場所にPHPが存在していた。「自分たちが何を動かしているか（自分でインストールしていないものも含めて）」を把握することが、脆弱性公開時に自組織への影響を素早く判断するための前提条件となる。
• 防御側には攻撃者が知り得ない優位性がある： AikidoのCEO Willem Delbare氏は、「攻撃者は防御側の多層防御の構成を完全には把握していない」と指摘しており、防御側はアーキテクチャ上の知識という固有のアドバンテージを持っている。
• 具体的な対策の方向性： コードの記述段階からセキュリティチェックを組み込み、リリース前および変更のたびにAIを活用したペネトレーションテストを実施し、アップグレードが困難な場合は現行バージョンにパッチを当てて運用を継続するという、SDLCへのAI統合が有効とされている。

【まとめ】 短期的には脆弱性の波が続くと予測されているが、「自組織のスタックの完全な可視化」「強固なセキュリティアーキテクチャの構築」「修正の迅速化」の三つを組み合わせることで、防御側は最終的に優位に立てる。まず自チームのスタックにPHPやBrotliなどの影響コンポーネントが存在しないかを棚卸しし、修正速度のボトルネックとなっている箇所を特定・改善することから始めるべきである。