PHPの脆弱性「PHP-ocalypse」が示すインターネット基盤の脆弱性
今週、オープンソースプログラミング言語PHPに最近発見された脆弱性により、ウェブサイト運営者は直ちに修正パッチを適用するか、それができない場合は安全のためにサイトを一時停止するよう求められました。TechCrunchのポッドキャスト「Equity」で、この「PHP-ocalypse」の重要性と、今後同様の事態が増えるかどうかが議論されました。専門家は、インターネットの基盤が「接着剤と夢」で成り立っていると指摘し、AIの普及で脆弱性の発見が容易になる中、根本的なリスクが浮き彫りになったとしています。
ポイント
- PHPの脆弱性は数十年前から存在していたが、最近になって発見された
- 大規模言語モデル（LLM）やAIエージェントの普及により、脆弱性の発見が容易になっている
- 修正パッチの適用かサイト停止かの緊急対応が求められ、リンクロット（リンク切れ）の増加が懸念される
- 大手企業は対策可能だが、小規模サイトや政府サイトは対応が困難な可能性がある
- サイバーセキュリティの新たな領域として、今後の動向が注目される
脆弱性の発見と対応
ポッドキャストでは、ショーン・オケイン氏が「インターネットの基盤レベルでは、すべてが接着剤と夢でつながっているように見える」と述べ、今回の事態を「真の清算の瞬間」と表現しました。また、アンソニー・ハー氏は、この脆弱性が数十年前から存在していたにもかかわらず、最近になって発見されたことを指摘。大手AI企業がLLMを用いて脆弱性を発見したことで、他の者も同様に発見できる可能性があるため、パッチ適用の必要性が生じたと説明しました。
影響と懸念
カーステン・コロセック氏は、多くのウェブサイトがPHPを使用しており、WordPressやDrupalなどコンテンツ管理システムの基盤となっていると指摘。約70%のウェブサイト、数千万のサイトに影響が及ぶ可能性があると述べました。また、サイトの停止によるリンクロットの増加や、歴史的な情報へのアクセス喪失を懸念。さらに、銀行などへの攻撃可能性やデータプライバシーの問題が拡大する恐れがあるとしました。
サイバーセキュリティの新たな課題
オケイン氏は、脆弱性の開示方法に不満の声があることや、CloudflareのCEOマシュー・プリンス氏が数百万回の攻撃試行を観測したことを紹介。従来のサイバーセキュリティでは、企業に個別に開示できたが、インターネットの基盤に関わる脆弱性ではそれが困難であると説明しました。今後、AIの進化により脆弱性の発見が容易になる一方で、対策が追いつかない可能性があり、新たなスタートアップの出現やオープンソースツールの活用が期待されると述べています。
