今週、インターネットのインフラストラクチャの重要な部分の脆弱性が暴露され、世界中のウェブサイト運営者が修正の実装に追われています。
トロントに本拠を置くサイバーセキュリティ企業パケットラブスの上級ペネトレーションテスター、アイザック・プリヴェット氏によると、問題はPHPコーディング言語の一部にあったという。この言語は「インターネットの根幹」であり、一般的に使用されているソフトウェアだという。
そして、この脆弱性は何年も前から存在しており、悪意のある者がサイトにアクセスし、サイトに変更を加え、データを収集することを可能にする可能性がありました。
この問題により、多くの企業が修正を実装している間ウェブサイトをオフラインにし、カナダの政府系ウェブサイトを含む一部のウェブサイトが暗転する事態に陥りました。
ここでは、PHP 言語について知っておくべきこと、それがどのように発覚したのか、そしてこの脆弱性がどれほど深刻であるかを説明します。
PHPとは何ですか?
PHP は、インターネット上で広く使用されているオープンソースのコンピューター言語です。つまり、誰でも無料でダウンロードして使用できます。この技術は非営利の PHP Foundation によって管理されており、ボランティアの役員チームと少数の開発者が参加しています。
Web サイトにアクセスするとき、画像、リンク、サイトがどの色で表示されるかなど、多くの情報がすべてまとめられてエンド ユーザーに正しく表示される必要があるとテクノロジー アナリストの Carmi Levy 氏は説明します。これらの要素をまとめてウェブサイトに命を吹き込むのが、PHP の仕事だ、と Levy 氏は言います。
「PHP は、どこかのサーバー上にあるばらばらのデータから、目の前にあるデバイス上でブラウザ上で操作できるライブ Web サイトにウェブサイトを作成するために、バックグラウンドで静かに動作しています」と、オンタリオ州ロンドンに拠点を置く Levy 氏は述べています。
この問題の特定に協力したサイバーセキュリティ企業の 1 つである Wiz は、Web サイトの約 70% が PHP を利用していると推定していますが、Web テクノロジー トラッカーの W3Techs はその数字を 75% と推定しています。
木曜日、スペインのゲルニカにあるソフトウェア開発会社RK SolutionsでPHPコードを扱うプログラマー。 (ビンセント・ウェスト/ロイター)
レヴィ氏は、その広範な使用により、この技術はインターネットが機能するための「基礎的な」技術となり、そのため脆弱性が広範囲に影響を及ぼす可能性があると述べた。
何が問題で、どのようにして発見されたのでしょうか?
Calif と Wiz というサイバーセキュリティ企業 2 社の研究者グループは水曜日、PHP に 2 つの脆弱性を発見したとブログ投稿を発表しました。研究者らは、 OpenAI プログラム PHP 内を含むインターネット全体の潜在的な脆弱性を検出します。
ライアン・オースティン氏、サイバーセキュリティ研究者 カリフォルニア州 問題の特定に協力した人物は、2004 年の PHP のセキュリティ問題を認識しており、OpenAI の GPT-5.6 Sol は、PHP コードの同じ部分を調べて他の潜在的なバグを探します。
「そして数日後、私たちはかなり深刻な事態を見つけることができました」とオースティン氏は語った。
PHP財団 水曜日のリリースで説明 どちらの問題も「メモリ管理とエラー処理という、ほぼすべてのリクエストが関与する PHP の部分」にあるという。
オースティン氏は、PHP でエラーが発生するとメモリの詳細が残り、それが破損してハッカーがサイトに侵入する可能性があると説明します。
技術アナリストの Carmi Levy 氏は、PHP がインターネット上で非常に広く使用されているという事実が、PHP の脆弱性が非常に懸念される理由の 1 つであると述べています。 (カーミ・レヴィ提供)
レヴィ氏によると、ハッカーは侵入すると、Webサイトに変更を加えたり（マルウェアをインストールしたり、サイトからコンテンツを削除したりする可能性がある）、あるいはパスワードなどの機密データを読み取ることができるという。
ウィズ氏は、この脆弱性は10年以上前から存在していたと述べた。 PHP財団は、研究者が2024年にこの悪用の可能性を理論化したが、それを実行する具体的な方法は当時発見されていなかったことを認めた。
PHP Foundationは、ソリューション実装の遅れはリソース不足とセキュリティチームの意思決定プロセスに起因する「構造的欠陥」であると述べた。
どれくらい深刻ですか?
レヴィ氏は、これを、ドア用ロックの最も人気のあるメーカーの 1 社が、マスター キーが広く利用可能であることを発見した場合に例えています。
「つまり、誰かが文字通りあなたの玄関まで歩いて行き、マスターキーを差し込むと、あなたの家にアクセスできるようになるのです」とレヴィ氏は言う。
同氏は、共通脆弱性スコアリング システムと呼ばれるものを使用して、セキュリティ インシデントが 0 から 10 までのスケールでスコア付けされると説明しています。これらは 9.2 とランク付けされており、Levy 氏によると、これは彼らがかなり真剣であることを意味するとのことです。
人気の PHP コードにハッカー軍への扉を開く可能性のある欠陥が開発者によって発見されたため、世界中の政府や企業の Web サイトが削除されました。
「ほぼ全員が使用しているテクノロジーに 1 つの脆弱性があるということは、世界的な影響が及ぶ可能性があることを意味します」と Levy 氏は述べています。
オースティンの観点からすると、これは「おそらく私がこれまで見た中で最悪の脆弱性の 1 つ」です。
どのように修正されていますか?
サイバーセキュリティの専門家は、良いニュースとして、解決策が存在すると述べています。
PHP Foundationは水曜日にこの脆弱性に対するパッチをリリースし、Webサイトでこの脆弱性を使用している人に対し、できるだけ早く修正を実装するよう呼び掛けた。
カナダを含む世界中の政府サイバーセキュリティ機関や政府指導者もこの呼びかけに同調した。
カナダ、フランス、日本の政府機関の Web サイトを含む多くの Web サイトが、潜在的なセキュリティ問題が解決されるまでの間、暗転しました。たとえば、ニューファンドランド・ラブラドール州とプリンス・エドワード島州の州サイトはその日はダウンしたが、木曜日には両方とも再開されたようだ。
の 米国国家安全保障局のサイバー部隊 問題にすぐにパッチを適用できない組織に対しては、修正が適用されるまでウェブサイトをオフラインにするよう呼び掛けた。
ウェブサイトのダウンはパニックを引き起こしたが、この話には希望の兆しがあるとレヴィ氏は言う。これらのサイトは、ハッカーが発見する前に研究者が脆弱性を特定した後、細心の注意を払って一時的に削除されたが、これはこの種の事象にフラグを立てるシステムが機能していることを示しているとレヴィ氏は言う。
PHPの脆弱性が明らかになった後、水曜日にニューファンドランド・ラブラドール州政府のサイトがオフラインになった。 （CBC）
脆弱性が公開された後、一部のサイトでハッキングが試みられたが、うまくいかなかったようだ。たとえば、Cloudflare の CEO は次のように述べています。 ソーシャルメディアでこう言った Cloudflareネットワークでは、発表から45分以内にこの欠陥を悪用する試みが数万件、2時間以内に「数十万件」が試みられました。
水曜日、PHP財団はCBCニュースに対し、ハッカーがこの脆弱性を悪用することに成功したという証拠は見られないと電子メールで述べた。
行動を起こす必要がありますか?
サイバーセキュリティの専門家らは、この問題はウェブサイトのバックエンドに影響するため、修正を確実に実装する責任は主にウェブサイトを運営する企業や他の組織などにあると述べている。
Packetlabs の Privett 氏によると、これはほとんどの場合、Web サイト運営者にとって非常に簡単で、パーソナル コンピュータを更新するのと似ているそうです。
「最新バージョンの PHP にアップグレードするだけで、問題の 99% が解決されるようです」と Privett 氏は言います。
EY の新しいレポートでは、プログラムが攻撃者が詐欺スキルを磨くのに役立つため、2026 年には AI がサイバー犯罪の主要な勢力になるだろうと示唆しています。
しかし、この脆弱性と修正はかなり前から公開されているため、ウェブサイトの所有者は、パッチを適用する前に発生した可能性のある侵害の兆候に注意を払う必要があるとプリヴェット氏は述べています。
「パッチを適用した後は、誰かがそのバグを利用してシステムに侵入した場合に備えて、侵害の痕跡を探すことをお勧めします」と Privett 氏は言います。
Privett 氏はまた、独自の Web サイトやアプリを持っている消費者に対して、PHP を使用しているかどうかを再確認して、確実に保護されているかどうかを確認するよう勧めています。
そしてすべての消費者にとって、個人のデジタル安全プロトコルを最大限に活用することで、あらゆる種類の潜在的なデータ侵害から身を守ることができるとレヴィ氏は述べています。たとえば、パスワードを頻繁に変更し再利用しないなど、適切なパスワードの衛生管理を実践し、2 要素認証を有効にすると、たとえハッカーが侵害された Web サイト上のデータにアクセスしたとしても、その情報を悪用してユーザーを攻撃することを防ぐことができます。
