プログラミング言語「PHP」に重大な脆弱性、世界中で多くのウェブサイト休止
画像提供, Getty Images
トム・ガーケン・テクノロジー記者、ローラ・クレス・テクノロジー記者、ジョー・タイディー・サイバー担当編集委員（BBCワールドサービス）
世界中で使われ、インターネットの相当部分を支えるプログラミング言語「PHP」のセキュリティーチームは21日、プログラムに含まれる二つの重大なセキュリティー上の欠陥に対処するよう、ウェブサイト運営者に強く求めた。同日午後に修正プログラムが公開された。
各国のサイバーセキュリティー機関は、早急に修正措置を適用できない組織に対し、サイトの休止を検討するよう促した。このため、フィンランド政府、英エディンバラ市議会、BBCなどの組織が、サイト上の複数ページをオフラインにせざるを得なくなった。
PHPの脆弱（ぜいじゃく）性は、人工知能（AI）が発見した。サイバーセキュリティー企業Wizは、AIがこれまで発見した脆弱性の中で「最も深刻」なものだと述べた。AIによるこうした調査は、サイバー空間の様相を一変させている。
フィンランド政府は公共ウェブサービスを一時的に停止した。オランダのサイバーセキュリティー機関は脆弱性が理由で、自分たちのウェブサイトをオフラインにすると発表した。
米国家安全保障局（NSA）はソーシャルメディア「X」で、「PHPを利用しているすべての組織」に対する勧告を掲載し、修正プログラムを適用できない場合はシステムをオフラインにするよう促した。
「この脆弱性は多くの場合、サーバーのファイルシステムやデータベースへの直接的な経路を提供するものだ」と、NSAは説明した。
米ホワイトハウスは、連邦政府機関が主要なAI研究所と協力して、この問題の解決を加速させていると述べた。
日本の高市早苗首相は21日夜にXで、「皆様に、今夜に対応して頂きたい大至急のお願いです」として、「多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な2件の脆弱性に関する注意喚起を行っています。公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします」と呼びかけた。
脆弱性に対する修正プログラムは、ソフトウエア開発者の間では通常「パッチ」と呼ばれる。
オンライン百科事典のウィキペディアを運営するウィキメディア財団は、自分たちはセキュリティー上の脆弱性に対処しているところだと述べた。
「修正パッチを安全に適用できるまで、予防措置として他のいくつかのシステムも停止した」と、財団は声明で述べた。その結果、21日には一部のユーザーがウィキペディアの一部にアクセスできなくなった。
英スコットランドのエディンバラ市議会のウェブサイトもアクセスできなくなった。BBCの公式サイトでも、「ドクター・フー」や「ザ・トレイターズ」など、いくつかの番組ページが利用できなくなった。
サイト停止についてどちらも、PHPの脆弱性に関連するものだとは公表していない。BBCニュースはコメントを求めている。
インターネットの「約70%」
このほか、芸術家のためのプラットフォーム「DeviantArt（デヴィアント・アート）」など複数のサイトがアクセスできなくなった。理由を明示せず、「メンテナンスのため一時的に停止しています」と掲示しているところもある。
PHPの脆弱性は、セキュリティー企業CalifとWizのサイバーセキュリティー研究者が発見した。
CalifはPHP財団と共に、米オープンAIが開始した「Patch the Planet（パッチ・ザ・プラネット）」という取り組みに参加していた。
「Patch the Planet」の参加者たちは、ウェブ開発言語の欠陥を発見・修正するため、オープンAIの高度なAIツールへのアクセス権を与えられていた。
オープンAIはブログ記事で、今回の発見は「近年で最も影響力の大きいセキュリティー問題の一つ」だと説明。同社の社内研究者も他の企業とほぼ同時期にこの問題を発見していたと述べた。
問題の脆弱性は10年以上もの間、発見されずにいた。高度なAIツールを数週間使用した結果、今年8月にようやく見つかった。
「（オープンAIの）最先端モデルは、このプロセスを実用化する上で不可欠だった。最先端モデルのおかげで、複数のアプリケーションで有効な対策を数時間で開発し、適応させることができた」と、Wizはブログ記事で明らかにした。
同社は、インターネットの「約70％」が影響を受けたと推定している。BBCは、この数字を検証できていない。
PHP財団は、今月後半にこの問題の完全な修正プログラムと合わせて、発見した脆弱性の内容を公表する予定だった。しかし、20日の時点でソーシャルメディア上で脆弱性の詳細が流出した。
このためPHP財団は、 脆弱性とその規模の大きさを急ぎ発表せざるを得なくなった。
オランダ国立公衆衛生環境研究所は、ウェブサイトを閉鎖した。同様に、同国議会下院のウェブサイトもアクセスできなくなった。
イギリスの国家サイバーセキュリティーセンター（NCSC）は、欧州連合（EU）およびオーストラリアの同様の機関とともに、PHPの利用者に対し、修正プログラムを適用するよう促している。
「直ちに修復できない場合、問題が完全に解消するまで、PHPを利用する組織はサイトをオフラインにすることを検討すべきだ」とNCSCは声明で述べた。
日本の国家サイバー統括室（NCO）とEUのサイバーセキュリティー当局も21日、同様の警告を発した。
「初期攻撃が発生」
「PHPはあちこちで使われている。WordPress、Drupal、Joomla、Magentoなどのサイト、共有ホスティングプラットフォーム、コントロールパネル、そしてPHPが内部で動作していることを公表していない膨大な数のソフトウエアを、PHPは静かに支えている」と、サイバーセキュリティー企業Huntressは指摘した。
サイバーセキュリティー企業ソフォスの脅威対策ユニットに所属する、専門家のドン・スミス氏はBBCに対し、ハッカーにとってPHPの脆弱性が「優先的な標的となる可能性が高い」と述べた。
喫緊の課題は、ただパッチをインストールすることではなく、PHPが実行されているすべての場所を見つけて管理することだとも、スミス氏は話した。
「PHPはあらゆるところで使われている。公開ウェブサイト、コンテンツ管理システム、ホスティングプラットフォーム、サードパーティー製品などの裏側で使われている可能性がある。時には、PHPを使っている組織自身、使っていることに気づいていない場合がある」
スミス氏は、攻撃者が「すでに足がかりを築いている可能性がある」ことを意識して、組織側が慎重に注視するのが不可欠だと強調した。
EUのサイバーセキュリティー緊急対応チーム（CERT-EU）は、PHPの脆弱性によるリスク評価は、「非認証のリモートコード実行の可能性を示している」と指摘した。
このようなサイバー攻撃によってハッカーは、マルウエアをインストールしたり、ウェブサイトをダウンさせたりできるようになる可能性がある。
インターネットインフラ企業クラウドフレアのデーン・クネヒト最高技術責任者は、「すでに初期段階の攻撃が発生しているのを確認している。新しい攻撃経路が現れると、その都度、対策を更新している」と述べた。
NCSCは、組織がアップデートをインストールした後は、「PHPをバンドル使用している可能性のあるアプライアンスやサービスを含め、サードパーティーのソフトウエアベンダーからのセキュリティーアップデートを、継続的に監視する必要がある」と述べた。
どのバージョンのプログラミング言語が影響を受けるかはまだ明らかではないが、CERT-EUは、2004年にリリースされたPHP 5以降のすべてのバージョンが影響を受ける可能性があると述べている。
PHP財団は、最新バージョンのみを対象としたアップデートをリリースしており、PHP 8.1以前のバージョンを使用しているユーザーにアップグレードを呼びかけている。
PHPはウェブ開発のために開発された。サーバー上で使用され、利用者がウェブサイトにアクセスした際に表示される画面を実装する。
すべてのウェブサイトがこれを利用しているわけではないが、インターネットの大部分を支えている。
