PHP脆弱性、各国政府サイトが相次ぎ停止 AIが欠陥発見

Raphael Satter Leo Marchandon Kanjyik Ghosh Rajveer Pardesi

[21日 ロイター] by Raphael Satter Leo Marchandon Kanjyik Ghosh Rajveer Pardesi – プログラミング言語PHPの深刻な脆弱性が公表されたことを受け、欧州各地の政府機関などが21日、予防措置としてウェブサイトを停止した。世界各地のサイト運営者がシステム保護に追われている。

　PHPの開発者チームは21日、ソフトウエアに長年潜んでいた脆弱性が人工知能(AI)を使って発見されたことを受け、緊急の修正プログラムを公開。全ての利用者に対し「直ちに更新することを推奨する」とした。

　テクノロジー企業は、一部のハッカーが既に脆弱性を悪用していると警告している。サイバーセキュリティーの調査やインシデント対応を手がけるTLP:Blackの共同創業者コスティン・ライウ氏は、AIが「悪用競争」を加速させていると指摘。次の段階では「インターネット上の脆弱なウェブサーバー全てに対する大規模な侵入」が起きる恐れがあると述べた。

　世界各地のサイバーセキュリティー当局は、PHP利用者に対し、直ちに更新するか、修正プログラムを適用できるまでウェブサイトを停止するよう呼びかけた。インターネット情報調査会社センシスのデータによると、260万台のホストのうち約150万台が、修正版のないバージョンのPHPを稼働させていると報告している。

　オランダのサイバーセキュリティー当局自身もサイトをオフラインにした上で、脆弱性を踏まえた予防措置だと説明。オンライン百科事典ウィキペディアの運営団体も、安全に修正プログラムを適用できるまで一部のシステムを停止したと明らかにした。大規模なオンライン図書館「インターネット・アーカイブ」も、対応のため一時的にオフラインになったと説明した。

　各国首脳も対応に言及した。オランダ首相は状況を注視していると述べた。高市早苗首相はXへの投稿で、運用中のサイトがPHPを使用しているか確認し、新たな修正プログラムを適用できるよう準備してほしいとサイト運営者に呼びかけた。

　サイバーセキュリティー企業2社がそれぞれ公表した報告によると、PHPの欠陥はAIを使って発見された。米セキュリティー企業のカリフはブログへの投稿で、8月1日に大規模言語モデルの支援を受けて欠陥を発見し、修正に取り組んできたと説明した。アルファベット傘下のウィズもブログへの投稿で、自律型AI脆弱性調査ツールに加え、グーグルとオープンAIのモデルを使って発見したと明らかにした。

　ウィズによると、脆弱性はPHPのコードに10年以上潜んでおり、人間のハッカーが悪用するには極めて複雑な作業が必要だったという。同社は「AI以前は、こうした手作業の実行は難しく、規模を拡大することはさらに困難だった」と指摘。「AIがあれば、もはや障壁ではない」と記した。カリフとウィズは、発見に当たり相互に連携するとともに、PHPの開発者チームやオープンAIと連携したと説明した。

　ホワイトハウスは声明で、16日に欠陥について報告を受けたと明らかにした。

　アマゾンのセキュリティー責任者CJ・モーゼス氏は21日夜のブログ投稿で、同社のセキュリティーチームが、公表の4日前に当たる10月17日、おとりシステム「ハニーポット」の一つに対して脆弱性を悪用しようとする試みを検知したと明らかにした。モーゼス氏によると、この試みは匿名のインターネットアドレスから行われており、悪意ある攻撃者による活動だったことが示唆されるという。情報解禁前に攻撃者がどのように欠陥を知ったのかは不明だとした。

　21日にも、情報解禁前に複数の攻撃者による試みが続いた。アマゾンは、こうした試みが実際のウェブサイトに対して成功したかどうかは依然不明とした一方、欠陥は「現在、実際の攻撃で広く悪用されている」と説明した。

重要な基盤ソフトウエア

　PHPはウェブサイトの動作に使われるプログラミング言語。訪問者がページを読み込むと、PHPを稼働させるサーバーがコンテンツを組み立て、ブラウザーに送信する。ボランティアが保守する無料のオープンソースソフトウエアだ。

　ウェブ技術調査会社W3Techsによると、プログラミング言語を特定できるウェブサイトのうち約75%でPHPが使われており、この普及度の高さが専門家の懸念を招いている。キングス・カレッジ・ロンドンの客員上級研究員ルカシュ・オレイニク氏は、ここ数週間に拡大しているAI支援型のハッキングが、未修正のサーバーに甚大な被害をもたらす恐れがあると指摘した。

　オレイニク氏は「規模が極めて大きい。AIを使えば、悪用は瞬時に起きる可能性がある」と語った。

　オランダでは、国家サイバーセキュリティーセンター(NCSC)に続き、ロッテルダム港、政府ポータル「Overheid.nl」、サッカー協会(KNVB)、国内主要5政党のウェブサイト、複数の病院サイトなどが、公開しているサイトをオフラインにした。

　デンマークの自治体向けIT企業コンビットは、全国的な学校連絡プラットフォームを含む複数のサービスを停止したと明らかにした。

　混乱はフィンランドでさらに広範囲に及び、国営ITサービス事業者バルトリは、政府の公衆ネットワークサービスを「予防措置として」オフラインにしたと説明した。

　フランスの内務省は、同省の全てのウェブサイトを予防的な保守作業のため停止したと明らかにした。