昨日はPHPの脆弱性の話題でもちきりで、みんな不安になっていました。私もざっと調べて、内容を理解してみました。

PHPは非常によく使われているWebサイトのバックエンド開発言語で、WordPressやMagentoなど、多くのサイトで採用されています。

今回明らかになった2件の深刻な脆弱性は、どちらもCVSSスコアが9.2です。簡単に言うと、特定の条件下では、攻撃者はログインすらせずにリモートからコードを実行し、Webサイトのサーバーを直接攻撃できます。深刻な場合、データベースやアカウント認証情報を盗まれたり、サーバー全体を乗っ取られたりする恐れがあります。

━━━━━━━━━━━━

昨日のとんでもない出来事のひとつは、この2件の脆弱性が、開発チームに修正の時間を与えるため、もともと10月22日に一斉公開される予定だったことです。

ところが10月20日、Hacker Newsで誰かが脆弱性の情報を先に暴露してしまいました。

その直後、さらにとんでもないミスが起きました。

脆弱性の調査に参加していたセキュリティチームCalifが、PoCによる攻撃デモ動画を予定より早く公開してしまったのです。動画はすぐに削除されましたが、すでにネット上で拡散し始めていました。（動画は下にあります）

修正に向けて調整中だった脆弱性の攻撃デモが、先に公開されてしまいました。PHPの公式チームは、パッチの公開を10月21日に前倒しせざるを得ませんでした。

さらに、セキュリティチームは実際に脆弱性を悪用しようとする試みを確認したと報告しています。一部の政府機関やWebサイトは、一時的にサービスを停止して、調査と修正を優先することを選びました。

━━━━━━━━━━━━

この件は、私たちにどんな影響があるのでしょうか？

普段利用しているWebサイトのバックエンドに脆弱性があり、迅速に修正されなければ、攻撃を受けた際にページを書き換えられたり、フィッシングコンテンツを埋め込まれたりする可能性があります。さらには、アカウント認証情報を盗み取るための入り口になる恐れもあります。

特に暗号資産ユーザーは、ここ数日、取引所やウォレット、エアドロップのサイトにアクセスする際は、できるだけ公式の経路を利用してください。見知らぬリンクをむやみにクリックしたり、安易に署名したりしないように！！ここ2日ほどは、かなり被害が広がると言われています。

この脆弱性は何年も前から存在していましたが、AIを活用した調査によって、発見や悪用方法の構築に必要なハードルが下がりました。

脆弱性がひとたび漏えいすれば、攻撃者がすぐに動き出す可能性があります。一方、世界中の膨大な数のWebサイトが修正を完了するまでには時間がかかります。

つまり、脆弱性の修正速度と、攻撃技術が広まる速度との競争になっているのです。