水曜日、数十年にわたり存在してきたオープンソースのネットワーク技術であるPHPが、2つの脆弱性が長年放置された後、最近研究者によって悪用方法が発見されたことで、インターネットがほぼ麻痺した。
これらの脆弱性はPHP2Shellと呼ばれ、公式番号はCVE-2026-109618およびCVE-2026-109619です。簡単に言えば、これらの脆弱性を利用できる知識を持つ者は、パスワードなしでPHPを実行しているオンラインシステム（例：ウェブサイトやインターネットに接続されたサーバー）に侵入し、その中のデータにアクセスしたり変更したりできます。
この事件の深刻さから見て、悪意のあるハッカーに利用される前に、世界中で数百万人がシステムにパッチを当てるために急いだ。
PHP Foundation は水曜日に、PHP ネットワークソフトウェアの修正パッチを公開し、インストールすることでウェブサーバーの攻撃を防ぐことができます。同基金会は以前から、PHP に依存する主要なインターネット企業やウェブホスティング業者に修正の早期アクセスを提供していました。
数週間にわたる裏での調整と業界内の慎重な協調により、これまで世界全体で大規模なインターネットの悪用を回避することができました。水曜日から、各国政府は市民およびウェブサイトを保有する企業に対して、自らのリスクを軽減するよう行動を促し始めました。銀行、小売業者、ゲームサイト、オンラインショップ、病院、および一部の政府機関が攻撃を防ぐためにサーバーを停止しました。
しかし、セキュリティ研究者は、まだ状況は終わっておらず、世界中には未パッチのシステムが多数存在し、依然として侵入やデータ盗難のリスクにさらされていると警告しています。
これは、おそらく最後の重大なインターネットソフトウェア危機ではないでしょう。一部の人々は、人工知能の登場により、まだ認識されておらず、発見され、悪用されるのを待っている脆弱性が急速に発見されると予測しています。
何が起こりましたか？
Califのセキュリティ研究者が、PHPで2つの脆弱性を発見しました。PHPは、インターネットや、イントラネットや内部ウェブサイトなどの社内ネットワークで使用される、世界中で広くウェブサイトおよびWebアプリケーションの構築に用いられるプログラミング言語です。
これらの脆弱性は2024年に最初に発見されたが、当時は利用可能とは見なされなかったため、修正されなかった。最近、セキュリティ研究者がそれらを悪用する方法を発見し、ソフトウェア開発者に早期に修正するよう警告した。
CalifはPHP財団に通知し、財団は直ちに脆弱性の修正と開示の調整を開始しました。財団は、特定の締切日まで機密を保持するという厳格な秘密保持期間を通じて、関連情報とパッチを提供することで、大手企業が修正プログラムを先に適用できる機会を提供しました。
なぜこれらの脆弱性は如此に深刻なのですか？
PHP2Shellが深刻な理由は、インターネットを介してリモートで悪用でき、被害者がリンクをクリックしたりファイルを開いたりする必要がないためです。これはリモートコード実行と呼ばれ、影響を受け、パッチが適用されていないシステムを世界中のハッカーがほぼ完全に制御できる可能性があるため、最も破壊的な脆弱性の一つです。
さらに悪いことに、これらの特定のPHP脆弱性により、攻撃者はパスワードやその他の認証情報なしに、インターネットを通じてパッチが適用されていないシステムに侵入できるようになり、これは認証されていないアクセスと呼ばれます。
これにより、悪意のあるハッカーがコンピュータにマルウェアをインストールし、データを盗むことや、後で再びアクセスできるよう長期的な拠点を確保することが可能になります。
なぜ70％のウェブページが影響を受けたのですか？
PHPは、インターネットの複数の進化と世代交代を経て、今や至る所に存在し、インターネットの大部分を支える接着剤のように機能している、古くから存在するが依然として正常に動作する技術の一つに過ぎない。多くの場合、これらのツールは報酬を得られないオープンソースのメンテナーによって開発されており、第三者によるセキュリティ監査の費用を負担できないが、企業はこれらのプロジェクトに広く依存しながらも、その資金支援を行っていない。
これらの脆弱性は人工知能によって発見されたのですか？
Calif は、今年早めに PHP コードのセキュリティ監査中にこれらの脆弱性を発見したことで評価されました。Calif は、OpenAI とクラウドセキュリティ大手の Wiz が主導する「Hack the Planet」プログラムに参加し、Wiz は Calif が作成したポケント証明の攻撃コードを検証しました。
Califの説明記事（漫画も付いており、非常に見応えがあります）では、研究者が説明しています。人工知能はこの脆弱性の悪用を補助するために使用されましたが、主な作業は研究者が既に持つ知識や、PHPコードベースおよび脆弱性の悪用履歴への精通に依存していました。
Califは、「どのモデルも、単なるシンプルなプロンプトだけでいきなり『すべての脆弱性』を掘り起こすことはできない。少なくとも現在のところは。」と述べている。
これらの脆弱性は、公開される前にすでに悪用されていたのはなぜですか？
すべての関係者が水曜日まで脆弱性の詳細を秘匿しようとしたが、パッチがリリースされる前にPHP2Shellの一部の悪用が発生したようである。
規模が大きく、可視性が非常に高いことから、アマゾンはオンライン脅威に対して大きな洞察力を有しています。同社はブログ記事で、PHPパッチがリリースされる約1週間前からPHP2Shellの悪用兆候を検出していたと述べており、これは脆弱性の詳細が広く公開される前から、どこかで誰かがそれらを悪用する方法を既に知っていたことを示唆しています。アマゾンは、ハッカーがこれらの脆弱性をどのように知ったかは現在のところ不明であるとし、防御者は10月17日までさかのぼって悪用の証拠を探すべきだと述べています。
事件の経過については複数の説がある。脆弱性が修正されると、特にPHPのようなオープンソースコードでは、誰でも公開で確認できるため、パッチの詳細がすぐに明らかになる可能性がある。これらの脆弱性を悪用するのは容易ではないかもしれないが、脆弱性の場所とその修正方法を知ることは、悪意のあるハッカーが攻撃対象を判断し、悪用コードを開発する手助けになる可能性がある。
禁令期間中にどこかで情報が漏れたか、コミュニケーションが途絶えた可能性もあります。オープンソースコミュニティは規模が大きく、このような方法で情報を制御するには、関係者全員の誠実な協力が不可欠です。
また、ハッカーがこれらの脆弱性を事前に独自に発見したか、スパイ活動を通じてそれらを知った可能性もあります。
研究者たちは、これらの脆弱性を実際に悪用するには多くの作業が必要であり、脆弱性を武器化することは常に挑戦であるが、不可能ではないため、これまで大規模な悪用が見られていない理由を説明している。
インターネットが広範囲にわたり停止していますが、回復しています。最悪の状況を回避できたのでしょうか？
まだ結論を下すには早いが、現在のところ大規模な利用の兆候は見られておらず、これは少なくとも励みになるサインだ——しかし、まだ危険域から完全に脱したわけではない。
セキュリティ監視企業CloudflareのCEO、マシュー・プリンスは今週、脆弱性が公表された後、それらを悪用しようとする試みの数が指数的に増加したと述べた。これは、悪意のある行為者がこれらの欠陥を自らの利益のためにどれほど急速に利用しようとしているかを示している。
PHPはWebサーバーだけでなく、開発ツール、コマンドラインおよびターミナルパッケージ、およびルーター、ストレージデバイス、ファイアウォールやVPNなどの企業セキュリティデバイスで使用されるその他のソフトウェアコンポーネントにも使用されます。
規模の小さいITチームや個人開発者が更新を遅らせるため、PHP2Shellの悪用は今後も継続すると予想されます。一方で、PHPを自社製品やソフトウェアに統合している多くの企業も更新が必要であり、これには移行期間を要します。
より多くのデバイスとシステムが更新されるにつれて、攻撃面は徐々に縮小します。しかし、これらの脆弱性の連鎖的影響は、更新が不可能なレガシーシステムにおいては、まだ数年間続く可能性があります。
このような状況は再び発生するでしょうか？
安全ジャーナリストとしてのこれまでの経験の中で、これはインターネットが停止するほどの稀な日だった。2016年、巨大なボットネットがインターネット登録機関であるDynをDDoS攻撃で襲い、多数のトップウェブサイトのサービスがほぼ停止した。2017年、北朝鮮は漏洩した米国政府のハッキングツールを使用して英国の医療システムを感染させ、ランサムウェアを展開した。2024年、CrowdStrikeの不具合のある更新が世界的な大規模なダウンタイムを引き起こし、世界中の大多数のWindowsコンピュータが同時にクラッシュした。
あらゆる面で、PHP2Shellのおかげで、インターネットは非常に苦痛で破壊的な1日を回避した。しかし、これが今後ネットに影響を与える最後の出来事である可能性は低く、これはむしろ、旧式技術の脆弱性を突く一連の出来事の始まりかもしれない。その大きな理由は、これらの古く広く使われているソフトウェア自体に未発見の根本的な欠陥が存在し、さらにAIツールが脆弱性の発見を容易にしているからである。
PHPおよび数十年前のその他のWebプログラミング言語や技術は、「メモリ不安全」ソフトウェアに属し、これによりソフトウェアがメモリストレージから機密データを漏洩またはオーバーフローさせる一連の脆弱性の攻撃を受けやすくなります。米国国家安全保障局は、現在積極的に悪用されている脆弱性の約75％がメモリ関連の欠陥を悪用していると述べており、つまりハッカーはしばしば这类の脆弱性を使用しています。
これは、Python、Rust、Swiftなどのメモリ安全言語への業界の移行を促進しました。これらの言語は、メモリ脆弱性のように悪用されにくいです。そのため、これらの言語は、かつての言語に引き続き影響を与える多数の脆弱性に対して大幅に免疫です。
しかし、これにより、PHP、メディアおよびビデオコーデック、圧縮ライブラリ、そして数十年前のその他のソフトウェアを実行するインターネットの相当部分が残されています。これらの技術に問題が発生した場合、ネットワーク全体に大きな影響を及ぼします。