世界のインターネットを支えるプログラム言語「PHP」の重大な脆弱性を狙ったサイバー攻撃が急増しています。米国のネットインフラ大手クラウドフレアの最高経営責任者は、1分間に100万回という驚異的なペースで攻撃を観測していると明らかにしました。
今回の問題は、単なるソフトウェアの欠陥にとどまりません。人工知能の進化によって脆弱性の発見から攻撃までの時間が劇的に短縮され、企業の情報セキュリティー対策そのものが根本的な転換を迫られていることを示しています。
企業経営者や財務責任者にとっても、サイバー攻撃は情報システム部門だけの問題ではなく、事業継続、内部統制、財務報告、企業価値に直結する経営課題となっています。
1分間に100万回という攻撃の異常な規模
クラウドフレアは、世界中に配置したサーバーを通じてウェブサイトの表示を高速化するとともに、サイバー攻撃から利用者を保護するサービスを提供しています。
同社のネットワークは、世界のウェブサイトへのアクセス要求の約2割を処理しているとされます。
そのクラウドフレアが、今回のPHP脆弱性を狙う攻撃について、1分間に100万回という規模を観測していると明らかにしました。
単純計算すると、1秒間に約1万6,700回、1時間では6,000万回に相当します。
もちろん、これは世界規模で観測された攻撃の頻度であり、すべてが侵入に成功したわけではありません。同社は大半の攻撃を防御できていると説明しています。
しかし、攻撃の試行回数がこれほど膨大になると、個々の企業が人手によって対応することは事実上不可能です。
サイバーセキュリティーは、人間が不審な動きを発見して対処する仕組みから、システムが自動的に攻撃を検知して遮断する仕組みへと移行しています。
AIが脆弱性の発見と攻撃を加速させる
今回の問題で特に注目すべきなのは、AIによってサイバー攻撃の時間軸が大きく変化していることです。
従来は、ソフトウェアの脆弱性が公表されても、攻撃者がその仕組みを分析し、攻撃用のプログラムを開発するまでに数日程度の時間がかかる場合がありました。
企業側には、その間に修正プログラムを適用する余地がありました。
しかし、AIの進化によって状況は一変しています。
高度なAIは、プログラムの構造を解析し、脆弱性を発見し、攻撃に利用できる可能性を短時間で評価できます。
今回の報道では、脆弱性の公開から1時間以内に攻撃が成功するケースもあると指摘されています。
これは企業にとって極めて深刻な変化です。
従来のように、脆弱性の情報を確認してから担当者が対応方針を検討し、数日後に修正するという運用では間に合わない可能性があります。
今後は、脆弱性が公表される前から防御態勢を整え、公表直後には自動的に対策を実行できる仕組みが重要になります。
新たな脆弱性が半年間で約8倍に増加
米エポックAIの集計によると、主要21組織が公表した一定水準以上の新たな脆弱性は、2026年3月から9月にかけて約8倍に増加し、9月には約3,500件に達しました。
背景には、AIによる脆弱性発見能力の向上があるとみられています。
これまで人間の専門家が長時間かけて調査していたプログラムの欠陥を、AIが効率的に発見できるようになったためです。
ただし、発見件数の増加が、そのまま新たな欠陥の発生件数の増加を意味するわけではありません。
以前から存在していた欠陥が、AIの活用によって発見されやすくなった可能性もあります。
重要なのは、攻撃者と防御側の双方がAIを利用できるという点です。
防御側はAIを使って脆弱性を早期に発見できますが、攻撃者も同じ技術を悪用できます。
今後のサイバーセキュリティーは、AIを利用した攻撃とAIを利用した防御が競い合う時代になると考えられます。
米国企業が事前に防御策を準備できた理由
今回のPHP問題では、米国の政府機関や大手テクノロジー企業が、脆弱性の公表前から水面下で対策を進めていたことが注目されます。
報道によると、PHP財団は米国政府や米オープンAIなどと協議し、2026年8月から約2カ月間にわたって修正プログラムや防御策を準備していました。
クラウドフレアも事前協議に参加し、脆弱性が一般に公表される約9時間前には、利用者向けの保護機能を提供していたとされています。
この対応には大きな意味があります。
ソフトウェアの脆弱性が発見されても、すべての企業が直ちに修正プログラムを適用できるとは限りません。
業務システムとの互換性を確認する必要があり、修正によって別の障害が発生する可能性もあるためです。
そこで、根本的な修正が完了するまでの間、ネットワーク側で不正な通信を遮断する対策が有効になります。
今回の事例は、ソフトウェア開発者、政府機関、クラウド事業者、セキュリティー企業が連携することの重要性を示しています。
日本企業に求められるセキュリティー対策の転換
日本では今回のPHP問題を受け、多くの企業や団体がウェブサイトを一時停止しました。
利用者への被害を防ぐためにサービスを停止することは、状況によって合理的な判断です。
しかし、停止期間が長期化すれば、売上機会の損失、顧客対応の遅延、信用低下などの影響が生じます。
今後は、脆弱性が発見されるたびにウェブサイトを全面停止するのではなく、安全性を確保しながらサービスを継続できる体制が重要になります。
具体的には、利用しているソフトウェアの把握、修正プログラムの迅速な適用、通信の監視、不正アクセスの遮断、バックアップの確保などが基本となります。
特に注意したいのは、現在は積極的に更新していない古いウェブサイトです。
企業の過去のキャンペーンサイト、採用サイト、子会社のホームページなどが放置されている場合、攻撃者に狙われる可能性があります。
企業が管理するウェブサイトや外部公開システムを一覧化し、不要なものは停止し、必要なものは継続的に更新する管理体制が求められます。
サイバー攻撃は内部統制と財務報告にも影響する
企業の経理部門や財務責任者にとっても、今回の問題は決して無関係ではありません。
例えば、会計システムと連携する外部サービスがサイバー攻撃を受けた場合、売上データや請求情報の取得が停止する可能性があります。
月次決算や四半期決算の作業が遅れれば、経営判断や適時開示にも影響します。
さらに、取引データの改ざんや消失が発生した場合には、財務諸表の信頼性に関わる問題へ発展しかねません。
財務報告に係る内部統制では、情報システムの安全性や信頼性を確保するためのIT全般統制が重要な役割を果たします。
アクセス管理、プログラム変更管理、システム運用管理などの仕組みが適切に機能しているかを確認する必要があります。
サイバー攻撃による障害が発生した場合には、その影響が財務報告に及ぶかどうかを評価し、必要に応じて監査人とも協議することが重要です。
サイバーセキュリティー対策は、情報システムの安全確保だけでなく、会計情報の信頼性を守るための内部統制でもあるのです。
セキュリティー投資を経営コストではなく事業継続投資として考える
企業がサイバーセキュリティー対策を強化するには、一定の費用が必要です。
しかし、対策費用を単なる経費削減の対象として捉えることには問題があります。
例えば、企業のECサイトがサイバー攻撃によって3日間停止したとします。
通常の1日当たり売上高が1,000万円であれば、単純計算で3,000万円の売上機会が影響を受けます。
実際の損失額は、顧客が後日購入するかどうか、代替販売経路があるかどうかなどによって異なります。
それでも、売上への影響に加え、復旧費用、顧客対応費用、信用低下などを考慮すれば、経営上の負担は小さくありません。
一方、適切なセキュリティー投資によって被害を回避できれば、事業の安定性を高めることができます。
企業は、対策に必要な費用と、障害が発生した場合の想定損失を比較し、リスクに応じた投資判断を行う必要があります。
特に中小企業では、専任のセキュリティー担当者を確保することが難しいため、信頼できる外部サービスの活用も有力な選択肢になります。
経営者が確認すべき3つの重要事項
今回のPHP問題を踏まえ、経営者や財務責任者が確認すべき事項は大きく3つあります。
第1は、自社が利用している情報システムの全体像を把握しているかという点です。
外部公開サイトだけでなく、子会社、関連会社、委託先が管理するシステムも含めて確認する必要があります。
第2は、重大な脆弱性が発見された場合の対応手順が明確になっているかという点です。
誰が情報を収集し、誰がサービス停止を判断し、誰が顧客や取引先に説明するのかを事前に定めておくことが重要です。
第3は、サイバー攻撃によって業務が停止した場合の事業継続計画が整備されているかという点です。
会計処理、資金決済、受発注、顧客対応など、重要業務をどのように継続するかを検討しておく必要があります。
これらの対策は、大企業だけでなく中小企業にも共通する課題です。
結論
今回のPHP脆弱性を巡る問題は、AIの進化によってサイバー攻撃の規模と速度が新たな段階に入ったことを示しています。
1分間に100万回という攻撃の規模は、従来の人手中心の対応では限界があることを物語っています。
一方で、米国の政府機関やテクノロジー企業が事前に連携し、防御策を準備していたことは、被害を軽減するための重要な示唆を与えています。
今後、企業に求められるのは、脆弱性が発見されてから対応する受動的なセキュリティー対策ではありません。
日頃からシステムの状態を把握し、攻撃を自動的に検知し、被害を最小限に抑えながら事業を継続する体制を整えることです。
経営者は、サイバーセキュリティーを情報システム部門だけに任せるのではなく、内部統制、事業継続、財務リスク管理と一体で考える必要があります。
AIが攻撃と防御の双方を高度化させる時代において、企業の競争力を左右するのは、単に高度な技術を導入しているかどうかではありません。
重大なリスクを早期に把握し、迅速に意思決定し、事業を守り続けられる経営体制を構築しているかどうかが、これまで以上に重要になるのです。
参考
日本経済新聞 2026年10月24日夕刊 PHP脆弱性への攻撃「1分で100万回」 米クラウドフレアCEO