# Patch the Planet、始動！PHP の重大脆弱性を世界で一斉に守る 5 段階の対応

やっほー、しぃちゃんだよ！今日はセキュリティの大きなお話。AI が見つけた重大な脆弱性に、世界でどう対応したのかを紹介するね。

## なにが発表されたの？

OpenAI の News で、**Patch the Planet** の紹介と、PHP の重大な脆弱性への協調対応が公開されたよ。Patch the Planet は、セキュリティ研究者・メンテナー・インシデント対応者をつなぎ、オープンソース全体の重大な脆弱性に対応するための取り組みだよ。

PHP のケースでは、OpenAI がメンテナー、研究者、セキュリティ事業者の連合を約 2 か月にわたって率いたそうだよ。

- Calif が、Patch the Planet の一環で GPT-5.6 Sol を使って 1 件の欠陥を発見
- Wiz が、2 件の脆弱性を独立に発見して報告
- 修正とリリースは PHP のメンテナーが主導
- Wiz や Cloudflare などが、開示前に防御を準備できるよう研究・技術支援・調整に協力

## なぜ重要なの？

PHP は Web サイトや Web アプリを動かす広く使われている言語だから、影響が大きいの。記事では、最先端の AI がこれらの欠陥を攻撃者より先に見つけたと見ていて、修正を準備できる「Defender's Window(防御側の猶予)」が生まれたと説明しているよ。同時に、同じ AI の能力が攻撃者のエクスプロイト作成を速める可能性にも警告しているよ。

## これで何が変わるの？

運用担当や管理者向けには、次のようなツールや支援が用意されるよ。

- 影響を受けそうなバージョンを調べる **PHP バージョンチェッカー**
- どのアップデートが該当するか判断を助ける **Codex スキル**(近日提供予定)
- 人手や予算が限られた組織が重要サービスを守るための、Daybreak for Frontline Defenders 経由の **10 億ドル規模の Daybreak 補助利用**
- すべてのメンテナー向けの Codex for OSS サブスクリプション、Rust Foundation などへの直接スポンサー
- Trail of Bits による OSS プロジェクトの支援(申請制)
- 開示情報や、影響を受けるシステムの見つけ方・更新・検証・暫定対策をまとめた Patch the Planet のサイト

## 深く潜ってみよう

対応は 5 つの段階で整理されているよ。

- **1. 上流の脆弱性を検証して修正**: 最先端モデルによる敵対的テストで、回避策や亜種も探す
- **2. 影響を受ける組織に対応する時間を与える**: 事前に情報を渡す相手を決め、WAF ルールなどの防御を準備してもらう
- **3. 政府パートナーと連携**: PHP では White House の Super Intelligence Force、国家サイバー長官室、CISA、国際パートナーが関わった
- **4. 影響を受ける製品全体でアップデートを準備**: ディストリビューター、ホスティング事業者、対応チームが参加
- **5. パッチ公開後にガイダンスを出して展開を支援**: 運用者のニーズを追跡

このフレームワークは、組織の防御上の役割、機微情報を扱う能力、対応に必要な時間を考慮するよ。実際に悪用されていたり、情報が漏れたり、パッチから内容が推測できたりした場合は、タイムラインを見直すこともあるよ。更新の優先度づけには CISA の BOD 26-04 のガイダンスが役立つとのことだよ。

より安全なソフトウェアを作る方向性も 4 つ挙げられているよ。

- 最初から安全なコード(安全なデフォルトの提案、危険なパターンの検出)
- 重要コンポーネントのメモリ安全な言語への移行(AI が支援し、専門家が互換性を検証)
- 形式検証(数学的証明でセキュリティ特性を示す)
- より強い隔離(信頼できないファイルを処理するソフトのサンドボックス化)

OpenAI はセキュリティコミュニティにフィードバックも求めているよ。

- 開示までの猶予期間と、早期開示の引き金
- 緊急パッチを政府や運用者が適用する場合の条件と安全策
- 誰に事前通知するか(カバー範囲と漏洩リスクのバランス)
- 安全なデフォルトのパッケージ、サポート外バージョンへのバックポート

あわせて、正当なセキュリティ作業を妨げずに悪用を減らせるよう、Daybreak のブロッキング分類器を調整中だそうだよ。

## まとめ

- Patch the Planet は、OSS の重大な脆弱性に世界で協調対応するための取り組み
- PHP の脆弱性で約 2 か月の協調対応を実施し、5 段階のフレームワークで整理
- バージョンチェッカー、Codex スキル、10 億ドル規模の補助、OSS 支援などを用意
- 開示期間や緊急パッチなどについて、コミュニティの意見を募集中

PHP を運用しているみんなと、OSS のセキュリティ対応に関わるみんなに刺さる内容だよ！