OpenAIのPHP確認スキルは、更新の判断を助ける道具であり、サイトの安全性を保証する検査ではありません。
会社のサイトにPHPの脆弱性が関係すると聞いても、広報やWeb担当だけでは、どのサーバーが対象かすぐに分からないことがあります。
OpenAIは2026年10月21日の脆弱性対応発表に続き、公式XでCodex向けのPHP確認スキルを案内しました。サイト運営者が知っておきたいのは、AIで確認できる範囲と、保守担当へ確認を引き継ぐ境目です。
この記事でわかること
- 更新対象：PHP公式が案内した修正版と、サーバー側で確認する必要を整理します。
- スキルの使い分け：URLしか分からない場合と、サーバーへアクセスできる場合を分けます。
- 結果の読み方：OK・POTENTIALLY VULNERABLE・UNKNOWNを安全宣言と混同しない方法を確認します。
PHP本体の問題なので、サイトの見た目では分からない
OpenAIの発表は、研究者と保守者による連携でPHPの重要な欠陥に対応した経緯を紹介しています。AIが発見を支援したというニュースですが、運営者に必要なのは「自社の環境に修正が入ったか」の確認です。
PHP公式の10月21日付注意喚起は、Webリクエストを処理するPHP環境の更新を強く求めています。修正版として示されたのは8.5.12、8.4.27、8.3.36、8.2.35です。サイトが正常に表示されることだけでは、対応済みとは判断できません。
なお、PHP公式は10月23日、特定の設定とアプリの処理が組み合わさった場合の追加注意を公表しました。Session upload progressの注意喚起も保守担当に確認してもらい、版番号の判定だけで対応完了にしないでください。
古い番号でも、配布元が修正を取り込む場合がある
OSやホスティング事業者が修正を取り込んだパッケージでは、表示されるPHP番号だけで状況が確定しない場合があります。利用中の系統の修正版と、配布元の案内を照合する必要があります。古い環境のままなら、提供元へ修正の有無を確認するか、サポート対象版への移行を相談してください。
Codexの確認スキルは2種類
公開リポジトリには、サーバー用とURL用のスキルがあります。自分が確認する権限を持つサイトだけを対象にします。
| 分かっていること | 使うスキル | 結果の位置付け |
|---|---|---|
| サイトのURLだけ | phpcheck-url | 外部に表示される版情報から判断する手掛かり |
| サーバーへアクセスできる | phpcheck-server | 実際にサイトを動かすPHPとパッケージを確認 |
Codexへの導入方法はリポジトリのREADMEに掲載されています。公開スキルを追加する作業になるため、社内の導入ルールに従い、内容を確認してから使います。
URLだけの結果より、実際の実行環境の確認が強い
URL用の説明は、HTTPヘッダーの版情報を読む方式です。ヘッダーが非公開なら分からず、表示情報が変更されている場合もあります。
サーバー用の説明では、コマンドで出したPHPの版と、Webを処理しているPHPが同じかまで確かめます。1台に複数のPHPが入っている場合、手元のコマンド結果だけを見て完了にしないことが重要です。更新済みパッケージの存在だけでなく、Web処理が更新後のPHPで動いているかも確認します。
UNKNOWNは「問題なし」ではない
- OK：登録された系統と版の比較で、修正境界を超えているという判定。修正そのものを独立検証した結果ではありません。
- POTENTIALLY VULNERABLE：表示された版が影響範囲にあるという警告です。未修正と確定した結果ではないため、配布元の修正情報と照合し、更新の要否を優先して相談します。
- UNKNOWN：版が見えない、対象外の系統など、確定できない状態。安全扱いせず追加確認へ進みます。
URLでUNKNOWNだったからといって、無理に情報を公開する必要はありません。管理画面や保守担当の記録で、実行中のパッケージを確認する方が目的に合っています。
Web担当から保守担当へ渡す確認文の例
次は社内依頼の例です。スキルの結果だけで更新を勝手に実行せず、対象と判断根拠を共有します。
当社管理サイトのPHPについて、2026年10月21日公開の重要な脆弱性への対応状況を確認してください。 対象サイト：［URL］ 確認したい内容：Webを処理しているPHPの系統・版・パッケージ、配布元の修正情報、更新の要否、実施予定。 URLによる確認結果が不明でも、対応済みとは扱わずサーバー側の状態を確認してください。 本番環境への変更は、影響と復旧方法を確認してから相談してください。
脆弱性の発見から修正までの役割分担は、AIを使った脆弱性対応の解説でも整理しています。今回の確認スキルは、そのうち現状を把握する入口です。
実務上の注意
チェックは侵入を試すものではなく、実証攻撃を追加する必要もありません。設定の変更だけを修正済みの証拠にせず、公式の更新と配布元の案内を確認してください。
更新前には影響するアプリや拡張、バックアップ、復旧方法を保守担当と確認します。ただし検討だけで放置せず、重要な更新として優先順位を付けて対応します。
まとめ
自社サイトのPHP確認は、URLの簡易判定から実際のサーバー環境の照合へ進めるのが基本です。AIのOKを最終判断にせず、修正の根拠と担当者をそろえて更新につなげましょう。
よくある質問
Codexのスキルだけで修正まで終わりますか？
今回のスキルは版と対応状況の確認用です。自動で安全な更新が完了する仕組みとは別です。
サイトが表示されていれば対応不要ですか？
いいえ。通常の表示ができることと、脆弱性が修正されていることは別です。
UNKNOWNならもう調べられませんか？
外側の版情報が取得できないだけの場合があります。権限のある保守担当に、サーバーの実行環境と配布元の修正情報を確認してもらいます。
出典・参考情報
運営元について
AXメディアは、株式会社ジーズ AX事業部が運営しています。AX事業部では、AI研修・AIエージェント開発・ローカルLLM開発・補助金／助成金の活用支援を提供しています。
