エレクトロニック・サービス・イニシアチブ、AIでPHP保守の修正範囲を拡大

エレクトロニック・サービス・イニシアチブは、保守終了版PHP向けのセキュリティ延長保守サービスを拡張しました。
AIを活用したソースコード解析とレビューを導入し、上流の修正移植に加えて独自の脆弱性修正にも対応します。
過去3か月で170件の修正を実施し、現行PHPにも存在する25件の問題を確認しました。

記事の概要

同社は2008年から、保守終了版PHPにセキュリティ修正を提供しています。
今回、AIを活用したソースコード解析とレビューを修正プロセスに導入しました。
PHPプロジェクトが公開した96件の修正を、PHP 5.3～8.1の11バージョンへ移植しました。
これに加えて、保守終了版に残る脆弱性などを同社独自に74件修正しました。
過去3か月の延べ適用数は、22のリポジトリに対して1,972件です。
確認した問題のうち25件は、現在PHPプロジェクトがサポートするバージョンにも存在しました。
このうち23件はサービスで修正済みで、残る2件はPHPプロジェクトへ対応を提案します。
対象となる脆弱性には、メモリ破壊、情報漏えい、SQLインジェクション、DoSなどがあります。

記事のポイント

1. 独自修正を拡大： 上流の修正移植に加え、保守終了版にのみ残る脆弱性などを独自に修正します。
2. AIレビューを導入： 修正の移植ごとにAIを活用したコードレビューを行い、関連する問題を調査します。
3. 上流へ報告： 現行PHPにも影響する問題について、PHPプロジェクトへの報告と修正提案を始めます。

このニュースがもたらす影響

• 旧版PHP利用企業： 既存アプリの改修や移行を急げない企業は、延長保守を単なる移植サービスではなく、独自検査まで含む防御策として評価し、対象環境の再点検と契約範囲の確認を進める必要がありそうです。
• PHP開発者： 現行版にも影響する問題が確認されたことで、PHP開発者は外部保守会社の調査結果を受け取るだけでなく、報告内容や修正提案を取り込む運用を検討することになりそうです。
• 保守サービス提供者： 同じ領域の提供者には、上流修正のバックポート件数だけでなく、独自脆弱性の発見、AIレビューの検証方法、上流への還元まで示すことが、サービスの差別化要素として求められそうです。

このニュースの背景

これまでの保守終了版PHP向けサービスは、PHPプロジェクトが公開した修正を古いバージョンへ移植することが中心でした。
一方で、AIを使って古いコードの脆弱性を調べられるようになり、公開済み修正の適用だけでは見つけにくい問題にも対応する必要が生じています。
今回の取り組みでは、移植作業中のコードレビューを通じて、保守終了版固有の問題だけでなく、現行PHPにも関係する問題が確認されました。
そのため、延長保守の役割が利用企業の旧版環境を守ることにとどまらず、上流プロジェクトへ脆弱性情報と修正案を戻す活動にも広がっています。

関連するニュース

• テックファームは、Webサービスの脆弱性情報収集から修正・テストまでをAIで支援する保守サービスを開始します。

詳しい記事の内容はこちらから（引用元）

PHPセキュリティ延長保守サービス、 AI時代に対応し脆弱性修正の範囲を拡大

エレクトロニック・サービス・イニシアチブ有限会社(所在地：岡山県総社市、代表取締役社長：大垣 靖男、以下「ESI」)は、…