この1週間、世界中のソフトウェアエンジニアが、ウェブサイトを動かすソフトウェアの更新に追われている。米OpenAIのAIモデルを使ったチームが、ウェブを支える重要なソフトウェア「PHP」に2件の重大な脆弱性を発見したためだ。米Cloudflareによると、影響はPHP 5.4以降を使うウェブサーバーに及ぶ。修正を適用しないままでは、不正なコードの実行やデータ流出、サービス停止につながる恐れがある。
PHPは、世界のウェブサイトの最大70％を支えるオープンソースのスクリプト言語だ。サイトの所有者が更新しなければ、古いバージョンが使われ続け、攻撃を受けるリスクが高まる。今回の脆弱性について警告が出ると、ほどなく修正版のPHPが公開され、サイト運営者に更新が呼びかけられた。更新作業のために一時停止した政府サイトもあったが、多くのサイトでは、修正を適用するかどうかが個々の所有者に委ねられている。
だが、実際に更新は進むのだろうか。
更新が所有者の判断に委ねられているからといって、放置してよいわけではない。サイトで情報漏えいが起きれば、所有者が顧客や取引先に対して責任を負う可能性がある。一方、閲覧する側は、そのサイトがPHPのどのバージョンを使っているか、見た目では判断できない。調べるには、コマンドやオンラインのPHP確認ツールなどを使う必要がある。
十分に管理されなくなったサイトもある。筆者自身も、所有するサイトのPHPや「WordPress」を何年も更新せず、放置していた。今回の問題は、管理の放置や安全対策に充てるリソースの減少が、老朽化するウェブの基盤を危うくしている現状を浮き彫りにした。
PHPの安全を支える人手と資金の不足
この1週間、サイトの更新と安全確保が急がれる中で、とりわけ衝撃的な事実が明らかになった。PHPの脆弱性への対応を支援する組織自体が、人手と資金の不足に直面しているのだ。
ロイターによると、非営利団体「PHP Foundation」の常勤職員はわずか1人で、体制を拡充するための資金も足りない。PHPの開発には財団の職員以外の協力者も関わっているが、保守を支える体制には余裕がない。同財団は、研究者やサイバーセキュリティー企業と協力し、今回のような危機を防ぐために2021年に設立された。
エグゼクティブディレクターを務めるElizabeth Barron氏はロイターに対し、常勤職員は自身1人で、非常勤の業務委託スタッフや無報酬の理事ら約14人とともに活動していると語った。AIは脆弱性の発見に役立つ一方、攻撃者にも悪用され得る。こうした脅威が増す中、PHPのコード修正に対する需要は、以前の2倍になっているという。「それでも、協力者の数が2倍になったわけではない」と同氏は述べる。企業や政府がPHPに依存しているにもかかわらず、「PHPを支える資金が著しく不足しているのは明らかだ」と指摘した。
PHP Foundationにコメントを求めたが、すぐには回答が得られなかった。
サイト運営者は問題に気付いていないかもしれない
ほぼ全ての小規模事業者が、SNSのアカウントや米グーグルの検索結果に表示される店舗・企業情報、自社サイトなど、何らかの形でインターネット上に拠点を持っている。しかし、米Network Solutionsの調査によると、PHPの問題が自分たちにも関わることを知らず、対処していない事業者もいるようだ。
自社サイトを持つ米国の小規模事業者121人を対象とした調査では、45％がPHPについて聞いたことがなく、71％が自社サイトで使われているかどうかを把握していなかった。また、今回のPHPの脆弱性についても、71％が知らなかった。
Network Solutions Groupでプリンシパルシステムアーキテクトを務めるRick Radinger氏は、この調査が認識や知識の不足を示していると述べた。問題を知らないだけでなく、自ら修正に動く必要があるとは考えていない可能性もあるという。「警告を知っていても、ホスティング事業者が対応してくれると思っている所有者もいるだろう。支援が必要でも、誰に連絡し、次に何をすればよいのか分からない人もいる」と同氏は話す。
PHPの脆弱性への警告を受け、ウェブインフラを手掛けるCloudflareや、ホスティング事業者の米GoDaddyといった大手企業も対応に乗り出した。Cloudflareはブログで、攻撃を検知して防ぐため、ウェブアプリケーションファイアウォール（WAF）に新たな防御策を導入したと説明した。GoDaddyは、運用管理を代行するマネージドホスティングとWindowsホスティングのサービスを更新し、サイト所有者が追加で操作する必要はないとした。ただし、同社でドメインを契約していても、サイトを自分で管理している利用者や、仮想専用サーバー（VPS）を運用している利用者は、自らPHPを更新する必要がある場合もあるとしている。
Cloudflareはセキュリティー対策に加え、米HackerOne上のバグ報奨金プログラムの一環として、PHPを対象とした「Capture the Flag（CTF）」コンテストも始めた。防御を突破し、隠された目印（フラグ）を取得する競技だ。同社はブログで「意図的に脆弱性を残したPHP環境を当社のファイアウォールで保護し、HackerOneのセキュリティー研究者に、防御を突破してフラグを取得するよう呼びかけている」と説明した。賞金は100〜1万ドルだ。
閲覧する側にはもどかしい問題
サイトを所有していない人にとって、PHPの脆弱性は、パスワードの変更で身を守れるような問題ではない。ソフトウェアを最新の状態に保ち、訪問者を守るのはサイト側の役割だ。
「問題があるのはブラウザーではなく、サイトのサーバーだ。利用者自身では修正できないのが、もどかしいところだ」とRadinger氏は言う。「ブラウザーを更新するだけでは解決しないし、サイトが正常に動いていても、修正済みだとは限らない」。
普段から呼びかけられている注意事項が、これまで以上に大切になる。見慣れないサイトへのリンクをクリックする際は慎重に判断し、信頼できないサイトには機密情報を渡さないこと。ソフトウェアを端末にダウンロードするリンクには、特に気を付けたい。
今回のPHPの危機は、誕生から40年近くがたつ「World Wide Web」の現状に警鐘を鳴らした。PHPの脆弱性は、ウェブサイトが直面する脅威の一つにすぎない。AIを使った侵入や情報漏えいも大きな脅威だ。ただ、今後直面する危険の多くは、老朽化するデジタル基盤から生じるかもしれない。
PHPは、サイトを動かす数多くの技術の一つにすぎない。ほかにも、JavaScriptやSQLデータベース、WordPressや「Wix」といったコンテンツ管理システム、サーバーそのものを動かすソフトウェアなどがある。ウェブ全体でこれらの監視・管理・更新を続けていかなければ、今後さらに多くの脆弱性が問題となるだろう。
Amazonで現在開催中のセールを見る
Amazonのアソシエイトとして、CNET Japanは適格販売により収入を得ています
この記事は海外Ziff Davis発の記事を4Xが日本向けに編集したものです。