PHPの脆弱性問題、AI時代のサイバーリスク管理に課題
※本記事は、公開情報および報道をもとに、ESG Journal編集部が独自の視点で考察したものです。
10月20日、プログラミング言語「PHP」に深刻な脆弱性が見つかり、各国が対応に追われた。情報処理推進機構（IPA）によると、PHPの開発チームは10月21日深夜（日本時間）、脆弱性の修正版を公開した。
日経新聞の報道によるとPHPは世界のウェブサイトの約7割で使われており、国内外のあらゆる業界や省庁が、21日夕から予防的なサービス停止に追われた。
日本でも、ソニーグループが21日夜からソニーストアの緊急メンテナンスに入ったり、全日本空輸がApple Walletの搭乗券機能を停止、日本航空と東日本旅客鉄道も一部ウェブサービスを止めたりするなど、いずれも被害の発生後ではなく、発生前の判断として対応に追われた。
企業にとってサイバーセキュリティは、全社的な問題として重要になっている。サービスの停止や情報漏えいは、事業継続、顧客との信頼関係、企業価値にも影響する。AIの高度化によってリスク環境が変化するなか、経営層によるリスクの把握と危機管理体制の整備が一層重要になっていると言えるだろう。
なお、今回の脆弱性は、セキュリティ企業CalifとWizがフロンティアAIモデルを用いて発見した。発見が速くなれば、悪用までの時間も同じだけ縮む。米アマゾンの発表によれば、同社は米時間21日、脆弱性の公表前に何者かが悪用を試みた形跡を確認したという。同社はAIを使えば数分足らずで欠陥を悪用できると警鐘を鳴らしている。
参考：Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)
AIの進化に、企業のリスク管理は追いついているか
AIの高度化は、業務効率化や新たな価値創出につながる一方、サイバー攻撃の高度化など、企業が直面するリスクにも変化をもたらしている。
こうした環境の変化を踏まえ、企業にはAIの活用を推進するだけでなく、リスクを適切に把握し、管理・監督するガバナンス体制の整備が求められる。
ESG Journalでは、AI活用に伴うリスクとAIガバナンスの重要論点を整理したホワイトペーパーを公開している。自社のAIガバナンス体制を見直すための参考資料として、ぜひ活用いただきたい。
＜実務ポイント＞
サステナビリティ情報開示に関連するガバナンス上のポイントや、AI活用に伴うリスク・課題について整理
情報開示における
AI活用のリスクとは
