資金は危機の後になってやっと集まりました。Heartbleedの後、十数社がそれぞれ3年間、年間10万ドルを拠出することを、コア・インフラストラクチャー・イニシアティブを通じて約束し、OpenSSLの開発者2人が常勤になりました。
今日のトレンドに戻る: PHPの欠陥2件で見知らぬ人がサイトを乗っ取れる恐れ 安全のため停止したサイトも
Poly ランキング · 今日のトレンドから
インターネットの最悪のセキュリティ脆弱性：Log4j、Heartbleed、PHP 2026
Heartbleedの前、Web上のHTTPSサーバーの多くを支えていた暗号化ライブラリは、年間約2,000ドルの寄付で運営されていました。その7年後、満点の10と評価されたLog4Shellは、公開の告知より少なくとも8日前に攻撃されていました。
- 1位：Log4Shell（Log4j、CVE-2021-44228）
- 10 位まで
01最終リスト
主要なAIがそれぞれ独立して 10 位までのリストを作りました。確認しやすい 1 つの結果です。各順位に理由、出典、その項目を入れた AI の一覧があります。
並び順：AIの合意が多い順です。
明るいバッジは、その AI がこの項目を自分のリストに入れたことを示します。薄いバッジは入れなかったことを示します。
- 1
Log4Shell（Log4j、CVE-2021-44228）
満点の10.0で、パスワードは不要です。2021年12月1日から攻撃され、告知の8日前でした。無報酬の保守担当者は、情報源によって3人または16人のボランティアとされています。
選んだ AI: Claude, Meta, Nemotron, Gemini. 選ばなかった AI: ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.各 AI のリストでの順位: Claude: 1 · Meta: 1 · Nemotron: 6 · Gemini: 1
各 AI の指摘 4
- Claude1 位
Cloudflareは2021年12月1日に、攻撃の成功を確認していました。公開された勧告より少なくとも9日前です。そしてそのコードは、Apache財団が報酬を払っていないボランティアのチームによって維持されていました。
出典 ↗ - Meta1 位
Perfect 10.0 CVSS, 400k exploit attempts in 2 days, 30% still vulnerable after 60 days, fixed by 16 unpaid volunteers
出典 ↗ - Nemotron6 位
Duplicate entry; see rank 1.
出典 ↗ - Gemini1 位
A single line of text in a free logging package run by three unpaid volunteers exposed an estimated three billion devices across the world's largest cloud providers.
出典 ↗
4つのAIがここに選出 - 2
Heartbleed（OpenSSL、CVE-2014-0160）
評価はv2で5.0、v3で7.5にとどまっていましたが、秘密鍵が漏えいしました。約60万台のサーバーが脆弱で、2か月後もまだ約30万台が脆弱でした。OpenSSLは年間約2,000ドルで運営されていました。
選んだ AI: Claude, Meta, Nemotron, Gemini. 選ばなかった AI: ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.各 AI のリストでの順位: Claude: 2 · Meta: 2 · Nemotron: 2 · Gemini: 2
各 AI の指摘 4
- Claude2 位
CISAがこれを悪用された脆弱性のリストに載せたのは、2022年5月4日でした。修正から8年後です。さらに、危機の前には、OpenSSLを支える財団には常勤職員が1人、寄付は年約2,000ドルだったと報じられています。
出典 ↗ - Meta2 位
600k servers initially vulnerable, 309,197 still leaking memory after 2 months, OpenSSL had $2,000 yearly donations and 4 volunteers
出典 ↗ - Nemotron2 位
CVSS 7.5 but exposed private keys of ~17% of HTTPS sites; exploited within hours; patching took months for many; OpenSSL had ~4 core developers, <$1M/yr funding.
- Gemini2 位
A cryptographic library protecting two-thirds of the world's encrypted web servers was kept alive on roughly $2,000 a year in donations by a single full-time maintainer.
4つのAIがここに選出 - 3
Shellshock（GNU Bash、CVE-2014-6271）
v2で10.0と評価され、公開から数時間以内に攻撃されました。このバグは、主に1人の保守担当者（チェット・ラミー）が維持していたシェル（Bash）にありました。CISAがこれを掲載したのは2022年になってからです。
選んだ AI: Claude, Meta, Nemotron, Gemini. 選ばなかった AI: ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.各 AI のリストでの順位: Claude: 3 · Meta: 4 · Nemotron: 4 · Gemini: 4
各 AI の指摘 4
- Claude3 位
無数のWebサーバーの裏で動くシェル（Bash）のバグは、公開から数時間以内に攻撃されました。それでもCISAがリストに載せたのは、2022年1月になってからです。
- Meta4 位
25-year-old bug since 1989 in Bash on every Linux and Mac, CVSS 10.0, first in-the-wild attacks within 24 hours
出典 ↗ - Nemotron4 位
CVSS 10.0 in Bash; unauthenticated RCE via environment variables; exploited within days; patching fragmented across Unix-like systems; Bash maintained by ~2 volunteers, minimal funding.
- Gemini4 位
A silent command execution flaw lay dormant for 22 years in the default Unix shell that essentially one programmer had maintained since 1989.
4つのAIがここに選出 - 4
PHP2Shell（PHP、CVE-2026-109618 および CVE-2026-109619）
認証なしでリモートからコードを実行できる脆弱性が2件です（v4.0では9.2、ある報告ではv3.1で9.8）。攻撃が確認されたかどうかは争いがあり、10月21日時点では、KEV（CISAの既知の悪用脆弱性カタログ）に掲載されていませんでした。
選んだ AI: Claude, Meta, Nemotron, Gemini. 選ばなかった AI: ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.各 AI のリストでの順位: Claude: 4 · Meta: 3 · Nemotron: 3 · Gemini: 5
各 AI の指摘 4
- Claude4 位
内部情報の漏えいにより、修正が1日早まりました。そして約884,000台のホストが、今もPHP 8.1以前を報告していました。公式の修正が出ないバージョンです。
出典 ↗ - Meta3 位
69.3% of identifiable web sites run PHP, attacks started 4 days before fix, flaws leaked Oct 20 ahead of Oct 21 patch
出典 ↗ - Nemotron3 位
Two critical flaws (CVSS 9.8) in PHP's CGI mode allow unauthenticated RCE; attacks seen before patch; ~78% of web runs PHP; core team ~10 volunteers, ~$200k/yr.
出典 ↗ - Gemini5 位
A double memory corruption flaw in the engine powering over 75% of global websites forced emergency weekend patches and prompted government agencies across Europe to take portals offline.
4つのAIがここに選出 - 5
XZ Utilsのバックドア（CVE-2024-3094）
10.0と評価されましたが、これはバグではなく、仕込まれたバックドアでした。単独の保守担当者からの信頼を2年かけて得るという手口で、広く配布される前に、遠隔接続のSSHが0.5秒遅れたことから発覚しました。
選んだ AI: Claude, Meta, Gemini. 選ばなかった AI: ChatGPT, Grok, Nemotron, StepFun, Kimi, DeepSeek, Wenxin.各 AI のリストでの順位: Claude: 5 · Meta: 5 · Gemini: 3
各 AI の指摘 3
- Claude5 位
メンテナーが1人のプロジェクトが数年がかりで乗っ取られていましたが、安定版Linuxのほとんどに届く前に、あるエンジニアが偶然見つけました。
出典 ↗ - Meta5 位
Intentional backdoor after 2-year grooming of exhausted volunteer, CVSS 10.0, caught by 500ms SSH latency anomaly weeks before stable release
出典 ↗ - Gemini3 位
A multi-year covert operation targeted the psychological exhaustion of a lone, unpaid maintainer in Finland to plant a master key directly into Linux SSH logins.
出典 ↗
3つのAIがここに選出 - 6
Spring4Shell（Spring Framework、CVE-2022-22965）
9.8と評価され、攻撃コードは24時間以内に公開されました。CISAは公開から4日後にこれを掲載しました。ここでの多くのケースと違い、このプロジェクトには企業（VMware）の支援がありました。
選んだ AI: Claude, Meta, Nemotron. 選ばなかった AI: ChatGPT, Grok, Gemini, StepFun, Kimi, DeepSeek, Wenxin.各 AI のリストでの順位: Claude: 9 · Meta: 8 · Nemotron: 7
各 AI の指摘 3
- Claude9 位
Log4Shellの後継と呼ばれたこの脆弱性は、2022年4月4日にCISAのリストに載り、期限は21日でした。
出典 ↗ - Meta8 位
CVSS 9.8 RCE in Spring MVC/WebFlux on JDK 9+, exploit public within 24h, Spring powers millions of enterprise Java apps
出典 ↗ - Nemotron7 位
CVSS 9.8 in Spring Framework; unauthenticated RCE via data binding; exploited within days; widespread in enterprise Java; Spring team ~20 engineers, funded by VMware/Tanzu.
出典 ↗
3つのAIがここに選出 - 7
GHOST（glibc、CVE-2015-0235）
2000年以降、ほぼすべてのLinuxシステムに存在する、メモリ領域の溢れ（ヒープオーバーフロー）です。AIはそのスコアを10.0（v2）、9.8、7.5と示しており、修正にはすべてのネットワークサービスの再起動が必要でした。
選んだ AI: Meta, Nemotron, Gemini. 選ばなかった AI: Claude, ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.各 AI のリストでの順位: Meta: 7 · Nemotron: 10 · Gemini: 9
各 AI の指摘 3
- Meta7 位
Heap overflow in gethostbyname since glibc 2.2 in 2000, CVSS 10.0, affects virtually every Linux system, patch lag 15 years
出典 ↗ - Nemotron10 位
CVSS 7.5 in glibc gethostbyname; unauthenticated RCE via DNS; exploited within days; patching across Linux distros fragmented; glibc maintained by ~10 volunteers, funded by Red Hat/others.
- Gemini9 位
A buffer overflow in the core GNU C resolver function quietly underwrote almost every connected Linux application from 2000 until 2015.
3つのAIがここに選出 - 8
Apache Struts / エクイファックス（CVE-2017-5638）
2017年3月に修正が出た翌日には、攻撃コードが現れました。エクイファックスは、修正されていない1台のサーバーを通じて、1億4,660万人分のデータを失いました（別の情報源では1億4,790万人）。
選んだ AI: Claude, Meta. 選ばなかった AI: ChatGPT, Grok, Nemotron, Gemini, StepFun, Kimi, DeepSeek, Wenxin.各 AI のリストでの順位: Claude: 7 · Meta: 6
2つのAIがここに選出 - 9
React2Shell（React Server Components、CVE-2025-55182）
10.0と評価され、攻撃に必要なのはリクエスト1回だけでした。シャドウサーバーのスキャンで確認された露出IPは、1週間で77,664から137,200超に増えました。また、30以上の組織が侵害されました（ある情報源による）。
選んだ AI: Claude. 選ばなかった AI: ChatGPT, Meta, Grok, Nemotron, Gemini, StepFun, Kimi, DeepSeek, Wenxin.各 AI のリストでの順位: Claude: 6
各 AI の指摘 1
- Claude6 位
細工されたWebリクエストは1つで十分でした。ShadowserverのスキャンでのIPアドレスの露出数は、1週間で77,664から137,200以上に増えました。
出典 ↗
1つのAIがここに選出 - 10
PHP-CGIの引数インジェクション（CVE-2024-4577）
PHPの前回の緊急事態です。2024年6月の修正から約2日後に、ランサムウェア集団がこれを利用しました。また、約250,000台のWindows向けPHPサーバーが露出していました（ある企業の推定）。
選んだ AI: Claude. 選ばなかった AI: ChatGPT, Meta, Grok, Nemotron, Gemini, StepFun, Kimi, DeepSeek, Wenxin.各 AI のリストでの順位: Claude: 8
各 AI の指摘 1
- Claude8 位
Windowsの「ベストフィット」文字変換によって、第三者がコードを実行できてしまいました。そして、2024年6月の修正からわずか数日のうちに、ランサムウェア集団がそれを使いました。
出典 ↗
1つのAIがここに選出
02知っておきたいこと
AI がリストを作る中で気づいたこと。
CISAは2022年5月、修正から8年後にHeartbleedを悪用リストに追加しました。KEVの日付は、リストが作られた時期を示すもので、攻撃が始まった時期ではありません。
XZのバックドアは、偶発的なバグから、ソーシャルエンジニアリングへと手口が移りました。攻撃者は約2年をかけ、疲れ切った単独の保守担当者を「手伝う」形で、コードへの書き込み権限（コミット権限）を得ました。
Log4jを支えたボランティアが何人だったかは争いがあります。InfoWorldとヘルプ・ネット・セキュリティによれば16人の無報酬のボランティア、別の回答では約3人です。1年後も、保守担当者のラルフ・ゴアーズは、2つのフルタイムの仕事と並行して無報酬で作業を続けていました。
PHPがWebに占める割合は、W3Techs（2026年10月21日、サーバー言語が判明しているサイト）によれば69.3%、別の回答では76-78%とされています。いずれにしても、PHP本体の脆弱性は、WordPressやDrupalのバグよりも多くのサイトに影響します。
03集計方法
数式なしで、やさしい言葉で。
1質問
インターネットの見えない土台の欠陥トップ10：Heartbleedから今日のPHP緊急事態まで
2このテーマを選んだ理由
今日のPHPの欠陥を、Heartbleed、Shellshock、Log4Shellと同じ列に並べ、攻撃の速さと修正の速さを比べています。これは単一のリストではできないことです。
3対象範囲
世界全体。インターネットの多くが依存するオープンソースソフトウェア
4評価の観点
- 深刻度スコア、および第三者がパスワードなしで乗っ取れるかどうか
- 公開から攻撃が確認されるまでの日数
- 露出したサーバーの大半が世界中で修正されるまでの時間
- そのソフトウェアを維持していたボランティアチームの規模と資金
- NIST National Vulnerability Database（NVD）— CVSSの深刻度スコアと、パスワードなしで脆弱性を利用できるかどうか
- CISA Known Exploited Vulnerabilities（KEV）カタログ — 実際の攻撃が確認されたもの、CISAが各脆弱性を掲載した日、連邦機関の修正期限
- シャドウサーバーのスキャン（BleepingComputerの報道による）— 修正後も脆弱なコードを動かしている、インターネットに露出したIP
- CensysによるLog4jの振り返り — 時間の経過とともに、Log4Shellに対して脆弱なままに見えたインターネット上のホストの割合
5順位をつけた AI
主要なAI：Claude, ChatGPT, Meta, Grok, Nemotron, Gemini, StepFun, Kimi, DeepSeek, Wenxin。それぞれが独自に10位までのリストを作り、各順位に出典を示しました。
6順位の決め方
AI ごとに表現が違っても同じ項目は一つとして数えました。より多くの AI がリストに入れ、より上位に置いた項目ほど順位が高くなります。「AI の一致」は、その項目を自分のリストに入れた AI の数を示します。出典は AI 自身が見つけたものだけで、手作業での追加はありません。
04各 AI のリスト
🇺🇸 Claude10 位まで · メモ 4 件
同じ質問に Claude だけが答えたものです。上の最終リストはすべての AI をまとめています。
- 1Log4Shell（Apache Log4j、CVE-2021-44228、2021年）
Cloudflareは2021年12月1日に、攻撃の成功を確認していました。公開された勧告より少なくとも9日前です。そしてそのコードは、Apache財団が報酬を払っていないボランティアのチームによって維持されていました。
出典 ↗ - 2Heartbleed（OpenSSL、CVE-2014-0160、2014年）
CISAがこれを悪用された脆弱性のリストに載せたのは、2022年5月4日でした。修正から8年後です。さらに、危機の前には、OpenSSLを支える財団には常勤職員が1人、寄付は年約2,000ドルだったと報じられています。
出典 ↗ - 3Shellshock（GNU Bash、CVE-2014-6271、2014年）
無数のWebサーバーの裏で動くシェル（Bash）のバグは、公開から数時間以内に攻撃されました。それでもCISAがリストに載せたのは、2022年1月になってからです。
- 4PHP2Shell（PHP、CVE-2026-109618 および CVE-2026-109619、2026年10月）
内部情報の漏えいにより、修正が1日早まりました。そして約884,000台のホストが、今もPHP 8.1以前を報告していました。公式の修正が出ないバージョンです。
出典 ↗ - 5XZ Utils バックドア（CVE-2024-3094、2024年）
メンテナーが1人のプロジェクトが数年がかりで乗っ取られていましたが、安定版Linuxのほとんどに届く前に、あるエンジニアが偶然見つけました。
出典 ↗ - 6React2Shell（React Server Components、CVE-2025-55182、2025年12月）
細工されたWebリクエストは1つで十分でした。ShadowserverのスキャンでのIPアドレスの露出数は、1週間で77,664から137,200以上に増えました。
出典 ↗ - 7Apache Struts / エクイファックス（CVE-2017-5638、2017年）
修正は2017年3月6日に公開され、悪用コードは翌日に現れました。それでもEquifaxは、1億4660万人分のデータを失いました。
出典 ↗ - 8PHP-CGI の引数インジェクション（CVE-2024-4577、2024年）
Windowsの「ベストフィット」文字変換によって、第三者がコードを実行できてしまいました。そして、2024年6月の修正からわずか数日のうちに、ランサムウェア集団がそれを使いました。
出典 ↗ - 9Spring4Shell（Spring Framework、CVE-2022-22965、2022年）
Log4Shellの後継と呼ばれたこの脆弱性は、2022年4月4日にCISAのリストに載り、期限は21日でした。
出典 ↗ - 10Drupalgeddon2（Drupal コア、CVE-2018-7600、2018年）
2021年11月になっても、Drupalのリモートコード実行の脆弱性はまだCISAの「必須修正」リストに追加されていました。3年以上経ってからです。
出典 ↗
Claude が気づいたこと
CISAがHeartbleedを悪用された脆弱性のリストに追加したのは、修正から8年後の2022年5月でした。KEV（既知の悪用された脆弱性）の日付は、攻撃が始まった時点ではなく、リストが作られた時点を示すため、2014年頃の欠陥を計る時計としては不適切です。
HeartbleedのNVD（米国の脆弱性データベース）による評価は、CVSS v2（旧来の採点方式）で5.0にすぎませんでした。旧来の採点方式がホストへの影響だけを数えていたためです。しかし、パスワードと秘密鍵が漏れていました。Log4Shellは10.0で、それを保守していたプロジェクトには、無償のボランティアが16人いました。
資金は危機の後に集まりました。Heartbleedの後、十数社が コア・インフラストラクチャー・イニシアティブを通じて、それぞれ3年間、年10万ドルずつの拠出を約束しました。そして、OpenSSLの開発者2人が常勤になりました。
Log4Shellから1年後、ラルフ・ゴアーズは、Log4jを無償で担当しながら、常勤の仕事を2つ抱えていると報じられました（スペイン語の報道）。彼のGitHub Sponsorsの支援者数は、3人から31人に増えました。