10月22日水曜日、PHPにハッキング可能な脆弱性があるというニュースが報じられたとき、ほとんどの人はそのプログラミング言語を聞いたことがありませんでした。AJ Vicensの報道によると、PHPは全ウェブサイトのおよそ70パーセントの基盤となっており、この公表は企業やセキュリティチームを慌ただしく動かしました。PHP脆弱性について、そして安全を保つ方法について知りたいなら、短い答えはこうです。最も効果的な防御はあなたの画面側で行われ、しかもそれはシンプルです。

私たちが知っていることについての注記：元記事の利用可能なテキストは短く、そのニュースをAIで強化されたハッキングに関するより広い議論の中に位置づけています。報道されている以上の技術的詳細について推測するつもりはありません。私たちにできるのは、このようなバグが一般ユーザーにとってなぜ重要かを説明し、どの習慣があなたの露出を減らすかを説明することです。

PHPの脆弱性が日常のユーザーにまで及ぶ理由

PHPはサーバーサイド言語です。ウェブサーバーの背後で動作し、あなたがログインしたり、買い物をしたり、ニュースを読んだりするときに見るページを生成します。あなたがインストールすることも、目にすることもありませんが、あなたが使うサイトがそれを動かしているなら、PHPの弱点はそのサイトの弱点になり得ます。

だからこそ影響範囲はこれほど広いのです。報道によればPHPが全ウェブサイトのおよそ70パーセントを支えているため、影響を受ける対象には中小企業のサイト、オンラインストア、ブログ、そしてあなたがアカウントを持っているかもしれないサービスが含まれます。問題の修正は主にサイト所有者とホスティングプロバイダーの仕事であり、彼らがパッチを適用しなければなりません。他人のサーバーにパッチを当てることはできません。

あなたがコントロールできるのは、侵害されたサイトがあなたにどれほどの損害を与え得るかです。あなたが使うサイトが侵害された場合、問題となるのは、あなたのパスワードが他の場所でも使われていないか、盗まれたログイン情報だけで侵入するのに十分か、そしてその後によく届くフォローアップの詐欺にあなたが騙されないかどうかです。

AIがハッキングと詐欺を加速させる仕組み

記事の見出しはAIで強化されたハッキングを指摘しており、その懸念は容易に理解できます。自動化ツールは攻撃者が脆弱なサイトをより速くスキャンし、より説得力のあるメッセージを大規模に作成するのを助けます。かつてはぎこちない言い回しで正体を露見させていた詐欺メールが、今では整った文章で読めるようになりました。

元記事には詐欺師の手口に焦点を当てたセクションがあり、一方的なリンクについての警告も含まれています。実践的な教訓は、もはや悪い文法や明らかな誤りを見つけることに頼ることはできないということです。代わりにプロセスに頼りましょう。行動する前に、メッセージがどこから来たのかを確認するのです。

身を守るための5つの実践的ステップ

これらの習慣は、私たちが完全には入手できていない記事の正確なリストの要約ではなく、一般的なベストプラクティスです。これらは、このような脆弱性が生み出す露出に対処するものです。

  1. ソフトウェアを最新の状態に保つ。 オペレーティングシステム、ブラウザ、アプリの自動更新をオンにしましょう。PHP上で自分のウェブサイトやWordPress形式のブログを運営しているなら、プラットフォーム、プラグイン、PHPバージョンを速やかに更新するか、ホスティング事業者にパッチ適用済みか確認を求めましょう。
  2. 一方的なリンクに注意する。 予期しないメール、テキスト、メッセージ内のリンクは、たとえ見覚えがあってもクリックしないでください。サイトのアドレスを自分で入力するか、保存済みのブックマークを使いましょう。
  3. アカウントごとに固有のパスワードを使う。 1つのサイトが侵害されても、固有のパスワードなら被害の拡大を防げます。パスワードマネージャーを使えばこれを現実的に行えます。
  4. 二要素認証（2FA）をオンにする。 パスワードが漏れても、第二のステップがあることで攻撃者が侵入するのは格段に難しくなります。認証アプリやハードウェアキーは、一般にテキストメッセージのコードより強力です。
  5. フォローアップの詐欺に注意する。 広く報じられた脆弱性の後には、あなたが利用している企業を名乗る「セキュリティ警告」のメッセージが届くことを予想しましょう。提供されたリンクを使うのではなく、企業の公式サイトやアプリに直接アクセスしましょう。

VPNが守れることと守れないこと

VPNはデバイスとVPNサーバーの間の通信を暗号化します。これは公共のWi-Fiで役立ちます。同じネットワーク上の他の人があなたの活動を覗き見できなくなるからです。また、訪問するサイトからあなたのIPアドレスを隠すこともできます。

それがしないのは、ウェブサイトのコードの欠陥を修正することです。脆弱なPHPを動かしているサーバーが侵害された場合、あなたのデバイス上のVPNはそれを変えません。また、フィッシングページにパスワードを入力するのを止めることもできません。これを限られた一つの層と考え、この種の問題に対する盾とは考えないでください。暗号化とプライバシーツールがなぜ今も活発な政策論争の的であるかの背景については、Chat Control 2.0が依然としてEUの暗号化を脅かすと批評家は言うに関する私たちの報道をご覧ください。

これがあなたにとって意味すること

リスクを減らすためにPHPを理解する必要はありません。この公表は主に、あなたのアカウントがあなたの管理下にないサーバー上にあるということを思い出させるものです。どのサイトもいつか侵害され得ると想定し、侵害が災難ではなく不便で済むようにアカウントを設定しましょう。固有のパスワード、2FA、そして予期しないリンクへの懐疑心です。

今日行動を起こす

これを読んだ後に他に何もしないとしても、今すぐこの3つを行ってください。保留中の更新をインストールする、メールと銀行のアカウントで2FAをオンにする、そして使い回しているパスワードを置き換える。PHP脆弱性の後に安全を保つことは、こうした日々の習慣に帰着します。公共のWi-Fiで頻繁に接続するならVPNを使ってください。ただし、それを万能薬ではなく、複数の層のうちの一つとして扱いましょう。