サイバーセキュリティの観点から、インターネットが深刻な状況に直面していることが明らかになりました。ロイター通信の報道によりますと、AIがプログラミング言語「PHP」に影響を与える重大なセキュリティ脆弱性を発見したことを受け、世界各地の政府ウェブサイトが一時的にオフラインになりました。問題の深刻さから、アメリカ国家安全保障局（NSA）は、システムでPHPを使用している組織に対し、直ちにアップデートするか、アップデートが完了するまでシステムをオフラインにするよう勧告しました。
PHP以外にも相次ぐセキュリティ問題
PHPのアップデート問題に加え、水曜日にはサイバーセキュリティ関係者を悩ませる事態がさらに発生しました。
- オープンソースのJavaScript実行環境「Node.js」は、最新リリースで4件の高深刻度脆弱性を修正したと発表しました。このうち1件はリモートコード実行を可能にするもので、他の2件はTLS検証バイパスを許すもので、サーバーの身元確認を回避される恐れがありました。
- 複数のLLMプロバイダーへのリクエストを振り分ける人気のオープンソースプロキシ「LiteLLM」は、攻撃者によって悪意のあるコードを注入される被害に遭いました。同社が水曜午後にX（旧Twitter）に投稿したところによりますと、悪意のある成果物はPyPI（Python Package Index）、Docker Hub、GHCR（GitHub Container Registry）に公開されたということです。この悪意のあるコードには、クラウド認証情報やパスワード、AIサービス認証情報を標的とする情報窃取プログラムに加え、侵害されたシステム上でコマンドを実行できるリモートアクセストロイの木馬が含まれていたとされています。LiteLLMは現在、悪意のあるリリースとイメージを削除し、インストールした人には提供した修復ガイダンスに従うよう勧告しています。
- インドの認証局「eMudhra」は秘密鍵が侵害され、攻撃者が不正な証明書を発行し、正規のウェブサイトになりすます可能性が生じました。セキュリティ専門家はこれを「Heartbleedよりも大規模な」大掛かりな後処理作業が必要な問題だと指摘しています。
背景にある相次ぐ侵害事例
これらの問題は、他のセキュリティ侵害やハッキングに続いて発生しました。クラウドネイティブのデータベースサービス「TiDB Cloud」の侵害（月曜日に発表）や、Plex Media Serverの4件の修正済み脆弱性（「Plex2Shell」と総称）を悪用するハッカー、先週にはサイバーセキュリティ企業BeyondTrustがRemote Support製品の重大なゼロデイ脆弱性について顧客にパッチ適用を警告（8月から悪用されていた）する事例がありました。
これらの問題は互いに関連していませんが、連続して発生したことで、サイバーセキュリティチームが直面する課題が浮き彫りになっています。特に、AIによって攻撃者が発見された脆弱性を悪用しやすくなる可能性があるため、この点は重要です。
