Nextgov/FCWの報道によると、Cloudflareは広く使用されているWebソフトウェアであるPHPの新たに公表された脆弱性を悪用しようとする数百万件の試行を報告した。研究者らはまた、侵害されたWebサイトが運営者だけでなく訪問者にもリスクをもたらす可能性があると警告している。PHP脆弱性について訪問者が何をすべきか疑問に思っているなら、短い答えは、他人のサーバーにパッチを適用することはできないが、利用しているサイトが侵害された場合に攻撃者が得るものを制限することはできるということだ。

これまでに入手可能な詳細は限られているため、本記事は報道された内容と一般的な防御慣行に限定している。

CloudflareがPHP悪用試行で確認していること

報道によると、CloudflareはPHPの脆弱性を悪用しようとする数百万件の試行を観測した。報道ではまた、修正を導入する世界的な取り組みについても述べられている。この組み合わせは、広く使用されているソフトウェアが公開開示の打撃を受けた後によく見られるものである。攻撃者はまだ更新されていないサーバーをインターネット上でスキャンし、管理者はパッチの適用を急ぐ。

PHPはサーバーサイド言語であり、つまりあなたのデバイス上ではなくWebサーバー上で動作する。このことは誰が行動する必要があるかを形作るため重要である。サイト所有者とホスティングプロバイダーが更新を適用しなければならない。訪問者にはそれを行う方法がない。

10月22日に公表されたPHPの欠陥に関する以前の解説記事では、この言語がWebの大部分を支えている仕組みと、なぜほとんどの人がニュースが出るまで聞いたことがなかったのかを説明している。

侵害されたPHPサイトが訪問者にリスクをもたらす仕組み

報道で引用された研究者らは、侵害されたサイトが訪問者にも危険をもたらす可能性があると警告した。これらの脆弱性の具体的な攻撃経路は、入手した要約では詳述されていないが、乗っ取られたWebサイトがユーザーに影響を与える一般的な方法は存在する：

  • ログイン情報の窃取： 攻撃者がサイトを制御すると、そのログインページに入力されたユーザー名とパスワードを取得できる可能性がある。
  • フォームデータの露出： お問い合わせフォーム、チェックアウトページ、サインアップフォームは、入力内容を他の誰かに送信するように改ざんされる可能性がある。
  • 悪意のあるリダイレクトやダウンロード： 侵害されたサイトは、訪問者を有害なページやファイルに誘導するよう改変される可能性があり、あなたのデバイスを危険にさらすことがある。

これはすべてのPHPサイトが危険だという意味ではない。ほとんどのサイトはパッチが適用され、多くはそもそも脆弱ではなかった。ポイントは、弱いリンクが考えたこともないサーバーである可能性があるということなので、その可能性に備えることが役立つ。

VPNがサーバーサイドの欠陥に対してできることとできないこと

VPNはデバイスとVPNサーバー間の接続を暗号化し、訪問するサイトからあなたのIPアドレスを隠す。これは公共Wi-Fi上で、また一部のトラッキングを制限するのに役立つ。

それはWebサイトのサーバー上の欠陥を修正するものではない。訪問するサイトが侵害されていれば、あなたのトラフィックは依然としてそのサイトに到達し、そこで送信したものはそれを制御する誰かに見られる可能性がある。VPNはまた、改ざんされたログインフォームにパスワードを入力することを止められない。これはプライバシー保護の一層であり、サーバーサイドのバグに対する防御ではないと考えるべきである。

これがあなたにとって意味すること

どのサイトが脆弱なPHPバージョンを実行しているかはおそらく判別できず、その必要もない。重要なのは、利用しているサイトが侵害された場合の被害を減らすことである。主なリスクは、パスワードの使い回し、二段階認証のないアカウント、情報が露出したことへの気づきの遅れである。これらはいずれも今日あなたが制御できることである。

サイトがパッチを適用する間に身を守る実践的な手順

  1. すべてのアカウントに固有のパスワードを使用する。 パスワードマネージャーを使えばこれが現実的になる。あるサイトがあなたのパスワードを漏洩しても、被害はそこで止まる。
  2. 二要素認証（2FA）を有効にする。 パスワードが取得されても、第二の要素があれば悪用が難しくなる。認証アプリやハードウェアキーは通常、テキストメッセージより強力である。
  3. 機密性の高いフォームには注意する。 不審に見えるサイト、異常に読み込まれるサイト、以前と挙動が異なるサイトでは、支払い情報や個人情報の入力は避ける。
  4. ブラウザとオペレーティングシステムを最新の状態に保つ。 これにより、悪意のあるページがデバイス上の既知の弱点を悪用する可能性が減る。
  5. 侵害通知に注意する。 企業から影響を受けたと告げられたら、速やかにパスワードを変更し、アカウントの活動を確認する。
  6. VPNは得意なことに使う。 信頼できないネットワーク上で役立つが、侵害されたWebサイトを相殺するために頼ってはならない。

結論

報告された試行の急増は、欠陥が公開されると攻撃者がどれほど迅速に動くか、そしてWebのどれほど多くが訪問者が決して見ることのないソフトウェアに依存しているかを示している。PHP脆弱性について訪問者が何をすべきかという問いへの最善の答えは、盗まれた認証情報をより役に立たなくすることである：固有のパスワード、2FA、そして侵害警告への注意。簡潔なチェックリストについては、PHPの欠陥後にオンラインで安全を保つ5つの方法に関するガイドを読み、サイト所有者がパッチを進める間、これらの手順を実施してほしい。