PHPの開発者は10月22日、世界中のウェブサイトの約70%を支えるプログラミング言語に存在する2件の脆弱性を修正するセキュリティアップデートを発表した。米国のセキュリティ企業CalifがOpenAIのAIモデルGPT-5.6 Solを使って脆弱性を発見したことを受けたものだ。PHP2Shellと名付けられたこの脆弱性が悪用されると、攻撃者がサーバー上で悪意のあるコードを遠隔実行する可能性がある。韓国政府はリスク評価会議の後、10月22日正午にサイバー警戒レベルを「注意」のレベル2に引き上げた。この脆弱性は2024年に初めて特定されていたが、悪用は困難すぎると考えられていた。AIによる分析でリスクが確認されたことを受け、PHPの開発者は、Califから8月に報告を受けてから2カ月以上にわたって検証を行い、10月21日に修正パッチをリリースした。PHPは金融機関、オンラインモール、企業のウェブサイトで決済や注文などの重要な機能を担っているため、この脆弱性は世界各国の政府や企業にとって重大なセキュリティ上の懸念となっている。
CalifはGPT-5.6 Solを使用してPHP2Shellの脆弱性を発見
10月22日のPHP Foundationの発表によると、Califの研究者はOpenAIのGPT-5.6 Solモデルを使ってPHPの2件の脆弱性を特定し、OpenAIの資金援助を受けてPHPの開発者とともにセキュリティパッチを開発した。Califはこの脆弱性を8月に報告した。Califの最高経営責任者であるThai Duongは、悪用が困難すぎると考えられていたため、この脆弱性はほとんど忘れられていたと述べた。PHPはサーバー上で動作し、決済や注文などの機能を処理する。PHPにセキュリティ上の欠陥があると、ハッカーがサーバーに侵入してデータを盗んだり、ウェブサイトを改ざんしたり、侵害したシステムを使って他社のサーバーを制御したりする可能性がある。
PHPの開発者は10月21日にセキュリティアップデートをリリース
PHPの開発者は、Califから8月に報告を受けてから2カ月以上にわたる検証を経て、PHP2Shellの脆弱性を修正するセキュリティアップデートを10月21日にリリースした。この脆弱性は2024年に初めて指摘されたが、当時は悪用される可能性が低いと考えられ、修正は保留されていた。Thai Duongはさらに、ハッカーがAIを使ってパッチをリバースエンジニアリングし、攻撃を仕掛ければ、広範囲に混乱が生じる可能性があると付け加えた。
パッチ公開後、数百万件の攻撃試行を記録
Cloudflareの最高経営責任者Matthew PrinceはXに、パッチ公開前の10時間に数千件の攻撃試行があり、公開後には合計で数百万件に達したと投稿した。一部のセキュリティ企業は、合意した時刻より早くパッチを公開したことで批判を受けた。これにより、ハッカーにパッチを分析する時間を与えてしまったという。The Wall Street Journalは、脆弱性の発見からパッチ適用までの過程を報じた。
韓国は10月22日にサイバー警戒レベルを「注意」に引き上げ
韓国の科学技術情報通信部は、リスク評価会議の後、10月22日正午に民間部門を対象とするサイバー警戒レベル2「注意」を発令した。これは4段階の警戒レベルのうち2番目にあたり、「関心」「注意」「警戒」「深刻」の順となっている。この措置により、当局はインシデント対応要員を増員し、緊急対応チームを待機させる。国家安保室は、宋基浩第3次長が主宰する緊急会議を開き、科学技術情報通信部、国防部、国家情報院とともに、各分野の対応策を検討した。これまでのところ、韓国では被害事例は報告されていない。
韓国でのPHP利用の89%を古いバージョンが占める
入手可能なデータによると、修正パッチの適用が困難なPHP 8.1未満のバージョンが、韓国内でのPHP利用の89%を占めている。これは日本の79%、米国の71%、フランスの69%を上回る。Geniansのセキュリティセンター長、文鍾賢は、サイバーセキュリティ要員が限られている中小企業のサーバーが、脆弱性のあるポイントになる可能性があると述べた。外部委託で構築されたウェブサイトの多くは保守契約の対象外となっており、中小企業や小規模事業者は対応に苦慮する可能性があるとの懸念が高まっている。
世界各国の政府や企業がPHPの脆弱性に対応
米国と英国の政府は企業にセキュリティアップデートのインストールを促し、パッチの適用が難しい場合はシステムをオフラインにするよう推奨した。オランダは、欧州最大の港であるロッテルダム港に加え、主要政党、病院、政府ポータルサイトのサービスを停止し、攻撃の可能性に備えた。日本の高市早苗首相は、事業者に対し、自社のウェブサイトでPHPが使われているか確認し、できるだけ速やかに修正パッチを適用するよう呼びかけた。
よくある質問
OpenAIのAIモデルはPHPのどのような脆弱性を発見しましたか？
OpenAIのGPT-5.6 Solモデルは、PHP2Shellと名付けられたPHPの2件の脆弱性を発見しました。これらが悪用されると、攻撃者がサーバー上で悪意のあるコードを遠隔実行する可能性があります。米国のセキュリティ企業CalifはこのAIモデルを使って脆弱性を特定し、8月に報告しました。これを受けてPHPの開発者は、2カ月以上の検証を経て10月21日にセキュリティアップデートをリリースしました。
韓国が特にPHP攻撃に対して脆弱なのはなぜですか？
韓国が特に脆弱とされるのは、修正パッチの適用が困難なPHP 8.1未満のバージョンが、国内でのPHP利用の89%を占めているためです。これは日本の79%、米国の71%、フランスの69%を上回ります。韓国政府は脅威に対応して、10月22日正午にサイバー警戒レベルを「注意」のレベル2に引き上げました。
PHPの脆弱性が公表された後、各国政府はどのような措置を取りましたか？
米国と英国の政府は企業にセキュリティアップデートのインストールを促し、パッチの適用が難しい場合はシステムをオフラインにするよう推奨しました。オランダはロッテルダム港、主要政党、病院、政府ポータルサイトのサービスを停止しました。日本の高市早苗首相は、事業者に速やかに修正パッチを適用するよう呼びかけました。韓国の科学技術情報通信部は10月22日、サイバー警戒レベル2を発令しました。
