10年間、インターネットの大部分に隠れていた脆弱性を、AIがハッカーに使い方を教えた。 あなたのデータを保持しているウェブサイトは、10年間ドアが開いたままだった可能性があり、AIがついにそのハンドルを見つけ出した。 攻撃者はユーザー名やパスワードを必要とせず、1つの精心されたリクエストだけで、パッチが適用されていないサーバーを支配できる。 この脆弱性は「PHP2Shell」と呼ばれている。研究者は、数年間専門家を悩ませ続けてきたこの脆弱性の悪用方法を、高度なOpenAIモデルを使って特定したと報告されている。 以下は、これを平易な英語で説明し、誰かがあなたを攻撃する前に取るべき対策だ。 PHPは、WordPressサイト、オンラインショップ、政府ポータル、決済ページ、そして多くの暗号資産プロジェクトのウェブサイトを静かに動かすエンジンだ。 サーバー言語が判明しているウェブサイトの約7割がPHP上で動作している。 この2つの脆弱性は、PHP自体に存在し、その上に構築されたウェブサイトにはない。攻撃者が正しいリクエストを送信すれば、サーバー上で自身のコマンドを実行できる。 そこから、顧客データを盗み、マルウェアをインストールし、サイトをダウンさせたり、そのサーバーをネットワーク内の他のすべてへの入口として利用できる。 AIの部分が真の話題であり、これが私の分析だ。AIが古いバグを実用的な攻撃に変えることができるなら、発見から被害発生までの時間が大幅に短縮された。 当局もそのように対応している。FBIはパッチを適用できないサイトに対してオフライン化を促しているとされ、ある国家サイバーセキュリティ機関は、すべての政府機関に7日以内に修正し報告するよう指示した。 単にウェブを閲覧しているだけなら、PHPサイトを訪問したからといってあなたがハッキングされたわけではない。真のリスクは、まだパッチが適用されていないサイトに保管されているあなたの個人情報だ。 暗号資産ユーザーにとって、乗っ取られたプロジェクトのウェブサイトは、ウォレットに直接アクセスする必要はない。たった1つのスクリプトを置き換えるだけで、「ウォレット接続」ボタンが信頼できるものであるかのように見せかけ、実際にはあなたの資産を空にするように設計されたコードへと誘導するだけだ。 修正はすでに存在する。PHPプロジェクトはパッチ済みバージョンをリリース済みだ： 8.2.35 8.3.36 8.4.27 8.5.12 あなたがウェブサイトを運営している場合、以下のチェックリストを実行してください： 1. ホストや開発者が管理しているものを含め、PHPを実行しているすべてのサイトとサーバーを特定する。 2. PHP自体を修正済みバージョンに更新し、再起動する。テーマやプラグインの更新だけでは効果がない。 3. 今日中にパッチを適用できない場合は、適用できるまでサイトをオフラインにする。 4. ログ、不明な管理者アカウント、変更されたファイルを確認し、すでに誰かが侵入した痕跡がないかチェックする。 5. ホストや開発者からパッチが適用されたことを文書で確認する。 「PHPセキュリティ更新」を提供するメッセージや、パスワードや支払いを求められるメッセージは無視してください。本物のパッチはDMで届くことはありません。 AIは、隠れたバグと実際の攻撃との間のギャップを、ほとんどの企業がパッチを適用するよりも短くした。まだ待っている企業はすでに遅れている。