最近、PHPランタイムに高深刻度の脆弱性が発見され、サイバーセキュリティコミュニティ内で大きな懸念を引き起こし、SNSや技術フォーラムで活発な動きを見せています。しかし、セキュリティ研究者のElias Taylor氏は、この脆弱性はLog4ShellやHeartbleedのような過去の「壊滅的な」欠陥ほど容易に悪用できるものではないと主張しています。Taylor氏の観察によれば、GitHubには数千もの「概念実証（PoC）」エクスプロイトが登場していますが、これらのスクリプトの多くは標準的なPHPインスタンスに対しては機能しません。その代わりに、これらのPoCは多くの場合「Local File Inclusion（LFI）」という前提条件に依存しており、これはサーバーがすでにユーザーによる/etc/passwdなどのファイル読み取りを可能にする別の脆弱性を抱いている必要があることを意味します。Taylor氏は、このような既存の欠陥を必要とすることは、このバグの深刻度を「ワンクリック」で実行可能なものから、より複雑な攻撃チェーンへと大幅に低下させると主張しています。

Taylor氏は、現在のセキュリティ環境における大規模言語モデル（LLM）の役割に関する特定の現象を強調しています。彼は、多くの開発者や「スクリプトキディ」がClaudeやGPTなどのLLMをエクスプロイトの生成に依存しており、その結果、特定の、そして欠陥のある問題解決手法が過剰に代表される「意思決定のシェリングポイント」が生じていると示唆しています。いくつかのケースにおいて、Taylor氏はLLMがPHPのバグ自体を悪用するのではなく、サーバーの設定を変更してより脆弱な状態にすることで実際に機能する「エクスプロイト」を提供したと指摘しています。これは、AIがテスト環境に脆弱性を挿入するという一種の「ズル」を行うことで攻撃の成功を証明し、成功した攻撃の「決定的な証拠」となるトランスクリプトを提供している状況を作り出しています。

単純で普遍的なエクスプロイトが存在しないにもかかわらず、この脆弱性は依然として論争の的となっています。一部の観測者は、万能なボタンは存在しないかもしれないものの、特定のアプリケーションレベルのコードパスや、Apacheとmod_phpを組み合わせた特定の構成において、リモートコード実行（RCE）が可能であることが確認されていると指摘しています。さらに、一部の報告では、この欠陥はすでに実環境で悪用されていることが示唆されています。公式のアドバイザリやSNSの報道によって煽られたバグの「壊滅的な」性質と、信頼性の高い武器化されたエクスプロイトを作成する際の実際的な困難さとの間の乖離は、AI支援によるセキュリティ研究の時代における現代の脆弱性評価の複雑さを浮き彫りにしています。