ChinaTalkが2026年11月8日(現地時間)付けで報じたところによると、カリフォルニア州のセキュリティ企業が8月にOpenAIモデルを利用してプログラミング言語PHPのソフトウェアバグを発見した。この脆弱性は世界のウェブサイトの約70パーセントを支え、WikipediaやWordPressにも影響する。発見後、PHPの開発者は修正作業を進め10月末には準備が整ったものの、情報公開前に攻撃が開始された。この「ゼロデイ」脆弱性への対応において、中国は他の国と比較して著しくパッチ適用が遅れているという。
Googleのインシデント対応チームによると、サイバー犯罪者が新しい脆弱性を悪用するまでの平均時間は7日以内であり、パッチが公開される前に攻撃が常態化している。セキュリティ企業Califは、OpenAIモデルの助けを借りてPHPの脆弱性を発見したことで、攻撃の危険性が高まっている現状を浮き彫りにした。
データ追跡サイトCensysによると、このPHPのゼロデイ脆弱性の一般公開から1週間後、米国では1400万の対象サービスのうち4分の1以上がパッチ適用を完了していた。日本もほぼ同等の割合で対応を進めた。しかし、中国では潜在的に脆弱なサービスのパッチ適用率が4%に留まり、対応の遅れが指摘されている。
過去10年間でサイバーセキュリティ統治システムを構築してきた中国が、歴史上最大のソフトウェア欠陥の一つへの対応で遅れをとった背景には、そのガバナンスシステムが影響している可能性がある。サイバーセキュリティ業界はこれまで欠陥の発見を中心に発展してきたが、「ゼロデイ」の豊富化により、今後は欠陥の迅速な修正が求められる時代へと移行すると見られている。
また、他国のバグバウンティプログラムの成熟度と比較すると、米国の主要テクノロジー企業10社のうち9社がバグバウンティプログラムを導入しているのに対し、中国では10社中6社に留まる。中国のプログラムにおける報奨金も、AppleやGoogleが数百万ドルを支払うケースがあるのに対し、Tencentのような大手でも最大1万5000ドルとされ、パッチエコシステムの経済的インセンティブの差が指摘されている。
参考: ChinaTalk (Jordan Schneider) — 2026年11月8日 20:03 (JST)
原文ハイライト"the time and cost it takes to exploit these software flaws have plunged alarmingly fast"