PHPの悪夢を経て、インターネットは再び安全になったのか？今知っておくべきこと

要約

• 10月21日にリリースされたPHPの更新がPHP2Shellに対する唯一の修正であり、所有者がインストールしてPHPを再起動して初めてサーバーが保護されます。
• CloudflareのCEOは、悪用攻撃の試行回数が数百万件に達したと述べましたが、ドイツのBSIと日本政府は侵入の成功は確認されていないとしています。
• PHP Foundationは、2024年に1つの欠陥の兆候を察知していたと述べ、その修正の遅れを「構造的な失敗」と呼びました。

PHPにおける2つのバグによって各国政府がウェブサイトの公開を停止するなどの対応に追われた翌日、修正プログラムが公開されました。攻撃者は執拗に攻撃を続けており、多くの人々が同じ疑問を抱いています。インターネットを心配せずに利用できるのか、それとも来週までベッドの下に隠れているべきなのか？

手短な答えを言えば、インターネットは壊れていません。ほとんどの人にとって、リスクは自分自身のスマートフォンやノートPCではなく、訪問するウェブサイト側にあります。より詳細な答えには、知っておくべきいくつかの注意点があります。

簡単な経緯：PHPは、サーバーサイド言語が判明しているウェブサイトの約70%で裏側で動作しているソフトウェアです。PHP2Shellと名付けられた2つの欠陥により、第三者がログインすることなく脆弱なサーバーを制御できるようになります。

修正済みか？

では、この脆弱性は修正されたのでしょうか？はい、大部分は修正されました。PHPのリリースノートによると、水曜日にバージョン8.5.12、8.4.27、8.3.36、8.2.35がリリースされました。「完全な緩和策はなく、アップデートすることが唯一の安全な選択肢である」としています。木曜日の時点で、PHPは追加のパッチを発行していません。

ただし、修正が役立つのは誰かがそれをインストールした後に限られます。PHPは自動更新されないため、すべてのホスティング会社、IT部門、個人のウェブサイト所有者が各自のサーバーに適用し、ソフトウェアを再起動して有効にする必要があります。

言い換えれば、修正プログラムは存在しますが、あなたが訪問するサイトが必ずしも安全であるとは限りません。

PHP 8.1以前は公式リリースの対象外となっており、古いサーバーが弱点となります。ただし、PHPのセキュリティチームは、ソフトウェアを自分でコンパイルする人向けに、7.4、8.0、8.1用の最小限のパッチを公開しています。

実際にハッキングされたのか？

攻撃者が試みたのは確かです。CloudflareのCEOであるMatthew Princeは、発表前の10時間で数千件、発表後の45分間で数万件、2時間以内に数十万件、それ以降は数百万件の悪用試行をネットワークで確認したと述べました。

Amazonはさらに踏み込み、バグが公表される4日前の10月17日に、同社のおとりサーバーが悪用試行を記録したと述べました。AmazonのCISOであるCJ Mosesは、「公開前に攻撃者がどのようにして悪用情報を入手したのかは不明なままである」と書き込み、PHP2Shellは「現在、野放しで広範囲に悪用されている」と付け加えました。