AIは脆弱性をより速く発見する。サイバーセキュリティはそれに追いつけるのか？
人工知能はサイバーセキュリティを変革しつつあり、長らく隠されていたソフトウェアの脆弱性を明らかにし、組織に対し、新たな脅威への備え方を再考するよう促している。.
10年以上も人々の目に触れる場所に隠されていたセキュリティ上の脆弱性が、テクノロジーによって明らかになった場合、一体何が起こるのだろうか？
私たちはそのことを少しずつ知り始めている。.
2026年10月、研究者らは、世界中のウェブサイトやアプリケーションを支えるオープンソースのプログラミング言語であるPHPに、2つの重大な脆弱性を発見したと発表した。PHP2Shellとして知られるCVE-2026-109618とCVE-2026-109619は、深刻度スコアが10点満点中9.2点と評価され、攻撃者がログインせずに脆弱なサーバー上で悪意のあるコードを実行できる可能性がある。.
求人サイト ウィズ・リサーチ, 同社のチームは、Wiz Atlas、GoogleのGemini 4 Argon、OpenAIのGPT-5.6 SolなどのAIツールを使用して脆弱性を調査し、動作するエクスプロイトを開発し、修正を検証しました。Wizはまた、協調的な情報開示プロセスにおいて、OpenAI、Calif、およびPHPのメンテナーと協力しました。.
サイバーセキュリティ啓発月間において、この発見は重要な疑問を提起する。 組織はAIを活用した脆弱性発見のスピードについていけるだろうか？
AIがセキュリティの構図を変えつつある
AIは複雑なコードを分析し、脆弱性を特定することで、研究者が脅威をより効率的に調査するのを支援します。PHP2Shellの調査では、AIは長年存在していたソフトウェアの欠陥を、従来であれば多大な専門知識と労力を必要としたであろう実用的なエクスプロイトへと変えるのに貢献しました。.
これは防御側にとって強力な利点となる。しかし、攻撃側も同様の機能を利用して脆弱性を発見し、悪用する手法を開発する可能性がある。.
AIによってセキュリティ上の脆弱性を発見・悪用する際のハードルが低くなるにつれ、組織が対応できる時間は少なくなる可能性がある。.
スピードも重要だが、準備の方がもっと重要だ。.
サイバーセキュリティは人材面での課題である
PHP2Shellは、脆弱性への対応が必ずしもパッチをインストールするほど単純ではない理由を示しています。.
これらの脆弱性はPHP自体に存在するため、安全なコードを使用したアプリケーションであっても危険にさらされる可能性があります。古い、サポート対象外のPHPバージョンを使用している組織は、ソフトウェアをアップグレードするか、長期サポートベンダーから修正プログラムを入手する必要があるかもしれません。.
そのためには、影響を受けるソフトウェアを使用しているシステムを把握し、リスクを評価し、アップデートの優先順位を付け、業務を中断することなく変更を調整する必要がある。.
それは、開発、セキュリティ、運用、そしてリーダーシップといった分野にまたがる仕事です。.
サイバーセキュリティスキルフレームワーク
ework, によって開発された オープンソースセキュリティ財団dation (OpenSSF) と Linux Foundation Education, 組織が14の主要なIT職種と3つのスキルレベルにわたる重要な能力を特定し、スキルギャップを明らかにし、人材育成の優先順位付けを行うのに役立ちます。.
これは、テクノロジーだけに頼るのではなく、組織全体のセキュリティ対策を強化するための実践的なアプローチです。.
意識を行動に移す
効果的なサイバーセキュリティ対策は、脆弱性が世間の注目を集めるずっと前から始まっています。安全な開発手法、継続的なリスク評価、そして連携のとれた対応計画は、組織が脅威の発生に迅速に対処するのに役立ちます。.
Linux Foundation Educationは、これらの能力を強化するためのトレーニングを提供しています。
- Secure AI/ML-Driven Software Development (LFEL1012)AI支援開発ツールを安全に利用し、潜在的なリスクを軽減するための、約1時間の無料トレーニングから始めましょう。.
- Developing Secure Software (LFD121)脆弱性を特定し、より強靭なソフトウェアを構築するための、安全なコーディング手法を学びましょう。.
- Threat Modeling: The Essentials Toolkit (SKF201)実績のあるフレームワーク、実用的なツール、AIを活用した脅威モデリング技術を用いて、セキュリティ上の脅威を特定し評価する方法を学びます。.
- Implementing DevSecOps (LFS262)ソフトウェア開発ライフサイクル全体にセキュリティを統合し、リスクを早期に特定して対処する。.
サイバーセキュリティ啓発月間は、デジタルインフラを保護するには、意識を高めるだけでは不十分であることを改めて認識させてくれます。行動、協力、そして継続的な学習が不可欠です。.
AIがサイバーセキュリティのあり方を変革する中で、新たな脅威に先んじるためには、適切なスキルを身につけることが不可欠である。.
