米国サイバーセキュリティ機関CISAは、広く使用されているPHPウェブソフトウェアに存在する2つの深刻なセキュリティ脆弱性をハッカーが積極的に悪用していることを確認し、米国政府内の民間連邦機関に対して今後3日以内にシステムを修正するよう指示しました。
この緊急パッチ警告が発表されてから1週間も経たないうちに、長年にわたり使用されてきたPHP Webプログラミング言語のメンテナンス元が、これらの脆弱性に対する修正プログラムをリリースしました。これらの脆弱性により、ハッカーはパスワードなしでインターネットを通じて脆弱なシステムにリモートで侵入できるようになります。報道によると、PHPソフトウェアはWeb対応サーバーの約70％で使用されており、多数のウェブサイトやアプリがリスクにさらされています。脆弱性の深刻さから、一部の政府機関や大手企業は修正作業のためにウェブサイトをオフラインにしています。
これらの脆弱性は「深刻」と評価されており、悪用された場合に重大な被害をもたらす可能性がありますが、セキュリティ研究者は、最初に実用的な攻撃手法を開発することは容易ではないと述べていますが、不可能ではありません。現在、実際に攻撃が確認されたことで、悪意のある侵入、サービス停止、データ漏洩を防ぐため、各種機関にシステムの早期修正がより強い圧力として求められています。
CISAは月曜日の声明で、これらの脆弱性を悪用しているのは誰であるかに関する詳細を提供しなかったが、その声明が発表される直前、セキュリティ研究者はPHPの脆弱性が悪用されている証拠を発見したと述べていた。
これらはPHP2Shellと呼ばれる脆弱性であり、ソフトウェアに長年見つからなかった欠陥を悪用する。これらは2年前に発見されたが、当時そのソフトウェアの保守を担当する非営利財団は、ハッカーがこれらの脆弱性を実際的に悪用する方法がないとして、修正を行わなかった。今年の初めまで、セキュリティ研究会社Califの研究者がAIモデルの助けを借りて、この2つの長期間潜伏していた脆弱性を悪用する方法を発見するまで、そのままであった。
PHPにおけるこれらの脆弱性は、まだ発見されていない、または長年にわたり優先順位が後回しにされてきた無数の脆弱性の一部に過ぎない。AIモデルが脆弱性の発見と悪用における能力を高め、複数の欠陥を連鎖させることで、これらの脆弱性は現在もリスクをもたらしている。
PHPは、インターネットと現代技術の基盤を支える古くからのWeb技術の一つであり、長年にわたりリソースや資金が不足していたため、PHPのようなオープンソースプロジェクトがセキュリティレビューを実施することが難しく、その結果、脆弱性が早期に発見されなかった。