お知らせ ｜ セキュリティ
― 2026年10月に公表されたPHPの重大な脆弱性（CVE-2026-109618／CVE-2026-109619）について、chai+（チャイプラス）への影響と、弊社の対応・今後の取り組みをお知らせします
2026年10月、Webサイトやサービスで広く使われているプログラミング言語PHPに、重大な脆弱性が公表されました。通称「PHP2shell」と呼ばれ、JPCERT/CC（JPCERTコーディネーションセンター）やIPA（情報処理推進機構）も注意喚起を出しています。
AIチャット＆検索サービス「chai+（チャイプラス）」をご利用のお客様、ご検討中のお客様に向けて、この脆弱性によるchai+への影響と、弊社の対応、そしてAIを使った攻撃が広がる時代のセキュリティへの取り組みをお知らせします。
chai+は、PHPを使用していません。ユーザーが利用するチャット画面、管理画面、APIのいずれもPHP以外の技術で開発・運用しているため、今回の脆弱性による影響はありません。
また、chai+のサービスサイトやコーポレートサイトなど、弊社が運営するWebサイトについても、影響がないことを確認しています。
chai+そのものへの影響はありませんが、chai+のチャットを設置しているお客様の自社サイトがPHPで動いている場合は、そのサイトが今回の脆弱性の影響を受けている可能性があります。サイトを管理する部署や制作会社に、PHPのバージョンと更新状況をご確認ください。確認の観点は、JPCERT/CCの注意喚起とIPAの注意喚起に詳しくまとめられています。
今回の脆弱性について、発見にかかわったセキュリティ企業Wizは、自社ブログで「PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet」と題し、AIを使って脆弱性を発見したと発表しています。AIは守る側だけでなく、攻撃する側にとっても、弱点を速く・大量に見つける道具になりつつあります。
こうした流れを受けて、弊社ではAIを悪用した攻撃への対策を、あらためて検討・強化しています。具体的には、次の2つの観点で取り組みを進めています。
|
観点 |
想定する攻撃 |
取り組みの方向性 |
|
脆弱性の発見が速くなる |
AIで弱点が短時間に見つけられ、公表から攻撃までの時間が短くなる |
リスクレベル別の迅速な対応を継続し、情報収集と対応の体制をさらに強化 |
|
AIそのものを狙う |
AIに想定外の動作をさせる、見せてはいけない情報を引き出そうとする |
AIが参照できる情報の範囲を制限し、回答の根拠と承認の仕組みで誤った回答を防ぐ |
chai+には、AIを狙った攻撃や、AIによる誤った回答のリスクを抑えるための仕組みが、すでに備わっています。
AIの導入にあたって確認したいセキュリティ要件は、「社内AIチャットボットのセキュリティ要件チェックリスト」にまとめています。より閉じた環境での運用をご希望の場合は、「ローカルLLMとは？」もご参照ください。
chai+を開発・運営するデフィデ株式会社は、情報セキュリティマネジメントシステムの国際規格ISO/IEC 27001（ISMS／登録番号 IS 541988）と、個人情報保護のプライバシーマーク（JIS Q 15001）の認証を取得しています。会社全体の情報セキュリティと個人情報保護の仕組みのもとで、今回のような脆弱性への対応を行っています。
2026年10月に公表されたPHPの脆弱性「PHP2shell」について、chai+はPHPを使用していないため影響はありません。弊社が運営するWebサイトについても、全社で影響がないことを確認しています。弊社は今後も、リスクレベルに応じて必要な対応をするとともに、AIを悪用した攻撃への対策を強化し、お客様に安心してchai+をご利用いただけるよう取り組んでまいります。
本件に関するご質問や、chai+のセキュリティについてのご相談は、お気軽にお問い合わせください。
出典・参考
※ 本記事は2026年10月時点の情報にもとづいています。脆弱性の詳細や対策は、PHP公式・JPCERT/CC・IPAの最新情報をご確認ください。chai+はデフィデ株式会社が提供するサービスです。
［無料相談を申し込む ］
提供：デフィデ株式会社｜戦略AIコンサルティング