OpenAI「Patch the Planet」始動 AIがPHP脆弱性を攻撃者より先に発見、全Webサイトの70%に影響
OpenAIは2026年10月21日、自社の脆弱性発見プログラム「Patch the Planet」を通じて、PHPの重大な脆弱性2件（CVE-2026-109618・CVE-2026-109619）を攻撃者より先に発見したと発表した。PHPは全Webサイトの約70%で使われており、WordPressやDrupalを含む広範なシステムに影響が及ぶ。
GPT-5.6 Solによる脆弱性発見と5段階対応フレームワークの提案
セキュリティ企業Califが7月30日に監査を開始し、GPT-5.6 Solを活用して8月11日にリモートコード実行（RCE）の脆弱性を特定した。 共通脆弱性評価システム（CVSS v4.0）のスコアは9.2で「重大（Critical）」に分類される。セキュリティ企業Wizも独立して同様の脆弱性を発見し、8月24日にPHPセキュリティチームへ報告した。
約2か月の修正作業を経て、10月21日にPHP 8.5.12・8.4.27・8.3.36・8.2.35のパッチが公開された。
OpenAIはこの事例をもとに、AIが発見した脆弱性への対応を体系化する5段階フレームワークを提案している。上流の修正、影響組織への事前通知、政府機関との連携、製品アップデートの準備、パッチ公開後のガイダンス発行という流れで、今後増加が見込まれるAI発見型の脆弱性に備える枠組みとなる。
“To our knowledge, frontier AI found these vulnerabilities before attackers did, opening a Defender’s Window for maintainers and security providers to prepare fixes and protections ahead of disclosure.”
（筆者意訳：我々の知る限り、フロンティアAIが攻撃者よりも先にこれらの脆弱性を発見し、メンテナーやセキュリティプロバイダーが公開前に修正と保護を準備するための「防御者の時間的優位（Defender’s Window）」を生み出した。）
出典: OpenAI公式ブログ
出典: OpenAI「Patch the Planet: global response coordination as agents uncover critical vulnerabilities」（2026年10月21日）
