AIが発見したPHPの脆弱性が世界的なパッチ適用の急増を引き起こす

世界中の政府が、AI技術が主要プログラミング言語であるPHPの「深刻な」脆弱性を発見したことを受け、安全対策の導入を急いでいる。この件の報道によると、脆弱性が明らかになって以降、ハッキングの試みが増加しているという。AIが発見したPHPの脆弱性は、約70%のウェブサイトを稼働させるソフトウェアに影響を与えており、だからこそこの話は開発者やシステム管理者だけにとどまらず重要なのである。

PHPを理解していなくても、その影響を受けることはある。あなたが毎日ログインしたり、買い物をしたり、読んだりしているサイトは、PHPで構築されているかもしれない。ここでは、わかっていること、それが何を意味するのか、そしてあなたにできることを説明する。

PHPの欠陥がこれほど多くのウェブサイトに及ぶ理由

PHPはサーバーサイドのプログラミング言語である。あなたがページを読み込むと、PHPはしばしばウェブサイトのサーバー上で舞台裏で動作し、あなたが見るものを構築したり、ログインを確認したり、データベースからあなたの詳細を取得したりする。あまりに広く使われているため、PHP自体の欠陥は1つのウェブサイトにとどまらない。それは潜在的にウェブの膨大な割合に一度に影響を及ぼす可能性がある。

それが懸念の核心である。この発見に関する報道では、一部の報道で「PHP2Shell」と呼ばれるこのバグは、攻撃者が影響を受けたサーバー上でコードを実行し、メモリを読み取ることを可能にするものと説明されている。報道によれば、根本的な欠陥は10年以上前から存在しており、つまり広く展開されたソフトウェアの中で何年も気づかれずに放置されていたということである。

言語レベルのバグは、典型的なウェブサイトへのハッキングとは異なる。その修正は1つの企業の責任ではない。すべてのサイト所有者、ホスティングプロバイダー、そしてPHPを運用する組織がそれぞれのスケジュールでアップデートを適用しなければならず、中には他より遅いところもあるだろう。

AIが脆弱性の発見をいかに加速しているか

この話が際立つのは、欠陥がどのように発見されたかである。報道によれば、Califと呼ばれる企業の研究者たちがOpenAIのモデルを使って問題を特定し、わずか数日でバグを発見した。セキュリティチームは長年コードの弱点を調べてきたが、その作業は伝統的に遅く、労力集約的であった。

この発見は、人間が何年もレビューしても見つけられなかったコードの欠陥を、AIがいかに迅速に特定できるかを示している。これは防御側にとって心強い。同じ速さが、犯罪者が見つける前に問題を修正するのに役立つからである。しかしそれはまた、欠陥が公表されてから攻撃者が悪用しようとするまでの時間の窓を狭めることにもなる。研究者がこれほど速くバグを見つけられるなら、悪意ある行為者を含む他者も同様のツールを使うと考えるのは妥当である。

その緊張関係こそが、政府が迅速に動いている理由である。目標は、公表と修正の間の隙間が大規模に悪用される前に、パッチを適用させることである。

攻撃者が今まさに行っていること

見出しとなる事実は、欠陥が公表されて以降、ハッキングの試みが増加しているということである。これはよくあるパターンに従っている。脆弱性が公になると、攻撃者はまだ更新されていないサイトをインターネット上でスキャンし、弱点を探る。パッチを適用していないサイトが最も簡単な標的である。

報道はまた、公式PHPウェブサイトや他のいくつかの組織がこの脆弱性にさらされたものの中に含まれていたことを示しており、十分なリソースを持ちセキュリティ意識の高い団体でさえ、このような問題に巻き込まれ得るということを思い起こさせる。

これはバランスを保って考える価値がある。試みの増加は、すべてのPHPサイトが侵害されたという意味ではない。多くのサイト運営者は速やかにパッチを適用し、多くの攻撃は失敗するだろう。しかし、後れを取っているサイトにとってリスクは現実のものであり、通常、外部からどのサイトがそうなのかを見分けることはできない。これがより広い脅威の全体像の中でどのように位置づけられるかの詳しい文脈については、30以上の個別のセキュリティ記事を1つのブリーフィングで取り上げた当社のThreatsDayまとめを参照されたい。

これがあなたにとって何を意味するか

あなた自身がウェブサイトのサーバーにパッチを適用することはできず、それが不快な部分である。このような欠陥が存在するとき、あなたのデータの安全は、あなたが使うサイトがどれだけ迅速に対応するかに部分的に依存する。あなたが頼っているサイトが侵害されれば、メールアドレス、パスワード、その他のアカウント情報などの詳細が危険にさらされる可能性がある。

あなたがコントロールできるのは、1つの侵害されたサイトがあなたのデジタルライフの残りの部分にどれだけの損害を与えられるかである。以下のステップは、どのサイトが影響を受けていてもその損害を限定する。

一般ユーザーがアカウントを守るためにできること

• すべてのアカウントでユニークなパスワードを使う。 1つのサイトが侵害された場合、ユニークなパスワードは攻撃者が同じログイン情報を他の場所で試すのを防ぐ。パスワードマネージャーを使えばこれが実用的になる。
• 二要素認証（2FA）を有効にする。 パスワードが盗まれても、2番目の確認ステップがあれば誰かが侵入することははるかに難しくなる。可能であれば、テキストメッセージよりも認証アプリを優先しよう。
• フィッシングに警戒する。 このような事件はしばしば、あなたのアカウントが影響を受けたと主張する後追いの詐欺メールを引き起こす。予期しないメッセージ内のリンクをクリックしないこと。代わりにサイトへ直接アクセスしよう。
• 侵害通知に注意する。 あなたが利用しているサービスが影響を受けたと伝えてきたら、速やかにパスワードを変更し、アカウントの活動を確認しよう。
• 自分のソフトウェアを最新の状態に保つ。 ブラウザ、アプリ、デバイスにもセキュリティ修正が提供され、アップデートは攻撃者が頼る扉を閉ざす。

結論

AIが発見したPHPの脆弱性は、セキュリティ競争がいかに速く進んでいるかを示す明らかな例である。長く隠れていた欠陥の発見を助けた同じ技術が、攻撃者が行動できる時間を短縮することもあり、だからこそ政府やサイト運営者が対応を急いでいる。あなたはPHPを修正することはできないが、アカウントを悪用することをはるかに難しくすることはできる。ユニークなパスワードから始め、二要素認証をオンにし、予期しないアカウント関連のメールは疑ってかかろう。この瞬間を形作る脅威についてさらに知るには、当社のThreatsDayまとめを読み、防御を最新の状態に保ってほしい。