PHP2Shellの脆弱性による影響は、ここ数年でインターネットにおける調整された緊急対応としては最大規模の事態にまで拡大しており、政府は予防策としてWebサイトをオフラインにし、セキュリティ会社は、世界のサイトの約70％を支えているPHPプログラミング言語を実行するWebサイトに対する数百万件の悪用試行を報告している。

数時間以内に数百万件のエクスプロイト試行 この件の詳細は、AIの最新動向をご覧ください。

ガーディアン紙によると、Cloudflareの最高経営責任者（CEO）マシュー・プリンス氏は、同社では脆弱性が公開されてから最初の45分間に数万件の悪用試行が記録され、2時間以内には数十万件、「現在では数百万件」に増加したと述べた。 Cloudflareはまた、欠陥が公表されるまでの10時間で数千回の試行が確認されたと報告しており、この詳細は、開示がどのように扱われたかについて懸念を煽っている。

Amazon Threat Intelligence は、PHP2Shell が「現在、広く悪用されている」と述べ、PHP 開発者が水曜日に修正版をリリースする前から、複数の攻撃者がこの脆弱性を悪用する方法を見つけようとする複数の試みを確認したと述べた。サリー大学のセキュリティ教授アラン・ウッドワード氏は同紙に対し、この欠陥はパッチが公開される前日に判明し、「誰かが袋から猫を出した」と語った。

政府はパッチ適用のためにサイトをオフラインにする

反応は異例に徹底したものだった。英国では、サイバーセキュリティ大臣のリズ・ロイド氏が議会で、32の政府サービスがオフラインになったと述べ、今回の措置はアップデート適用中の予防的なものであると説明した。ダウニング街は、公共向けの重要なサービスには影響はなく、一部の限られたサービスが一時的に利用できなくなる可能性があると述べたが、これはハッキングされたことを意味するものではないと強調した。

英国の国家サイバーセキュリティセンターは影響を受けた組織に5万件の警告を送信したが、ハッキングが成功したという報告は受けていないと述べた。同庁は脆弱性の規模を「前例のない」ものだとし、古いシステムを運用している一部の組織ではパッチが機能せず、システムを完全に置き換える必要があると警告した。一時的な停止の影響を受けたと報告されているサイトには、BBC のトレイターズ番組 Web サイト、インターネット アーカイブ、ウィキペディア、4Chan が含まれます。

米国では国家安全保障局が、この欠陥により攻撃者がWebサーバーの制御を掌握し、機密データを盗み、サービスを妨害し、侵害されたネットワークの奥深くまで侵入する可能性があると勧告した。同庁は「サイバー攻撃者がPHP2Shellを武器化する可能性が高い」と述べ、そのリスクは「米国政府部門や機関全体に即時パッチを適用する必要があるほど深刻である」と付け加えた。

緊急対応はすぐに国境を越えた。韓国は緊急対応措置を発動し、民間部門のサイバーセキュリティ警戒レベルを引き上げ、数万の企業に指導を行った。中国工業省は組織に対し、システムを検査し、最新の安全なバージョンのPHPにアップグレードし、パスワードとキーを変更するよう呼び掛けた。日本の首相は企業に対し、脆弱性を修正するかサイトを閉鎖するよう奨励した。

PHP2Shell が歴史的と言われる理由

NCSC の元最高経営責任者である Ciaran Martin 氏は、この欠陥は「非常に悪質」であり、「この 5 年間で発見された中で最も深刻な脆弱性」であると述べました。この脆弱性を発見した研究組織の 1 つである Wiz は、これはおそらくこれまでに発見された中で最も深刻なソフトウェア欠陥の 1 つであると述べています。

この脆弱性の起源は、この脆弱性を AI セキュリティのランドマークにするものです。 Wiz 氏によると、PHP の根本的な欠陥は数十年前から存在していましたが、それらが実際に悪用可能であることを証明するには、人間の研究者が実際に達成できる限界に達する、非常に複雑な一連の手順が必要でした。 「フロンティア AI モデルはその障壁を大幅に軽減し、長年の欠陥をエクスプロイトに変えました」と同社はブログ投稿で述べています。

NSA の警告は、攻撃者がアクセスによって何ができるかに焦点を当てています。インターネットインフラストラクチャの専門家ミハウ・ウォジアク氏はガーディアン紙に対し、大手ウェブサイトが貴重な計算能力、サーバー、IPアドレスを管理しているため、敵対的な攻撃者が公開されたサイトの「リソースを強奪」する可能性があると語った。犯罪グループは侵害されたサイト内に巣を作り、追跡できない攻撃を仕掛ける可能性があり、一方、仮想通貨マイナーはサーバーを乗っ取って、エネルギーを大量に消費する計算を無料で実行する可能性があります。多くの場合、サイト所有者は侵害にさえ気づかないだろうと同氏は指摘した。

警報中の注意事項

誰もが被害が発生したと信じているわけではありません。この欠陥発見の鍵となったサイバーセキュリティ企業カリフォルニアの研究者ライアン・オースティン氏はガーディアン紙に対し、「現時点では悪用が始まったり、広がったりしているようには見えない」と語った。英国商工会議所は、混乱が英国企業にまだ重大な困難を引き起こしていないと述べた。

しかし、GCHQの元長官デイビッド・オマンド卿は、防御が完全に整う前に、ロシアや中国を含む国家敵がこのバグを悪用しようとする可能性があると警告し、インターネットが最も危険にさらされる時期が情報開示と完全修復の間の時期であることを思い出させた。

サイト運営者が今すべきこと

依然として危険にさらされている組織に対しては、政府機関からのガイダンスに一貫性があり、パッチ適用済みの最新バージョンの PHP に直ちにアップグレードし、パッチが適切に適用されていることを確認し、システムが古すぎて修正を受け入れることができない場合は、システムを隔離または交換します。一部のレガシー システムにはパッチをまったく適用できないという NCSC の警告は、この脆弱性のロングテールが現在の緊急事態を超えて長く続くことを示唆しています。

このエピソードは、AIを利用した攻撃的研究に関する議論にも決着を付ける。 1 週間前には理論的であったことが、今や世界規模の現実の事件となっています。AI システムが、数十年間悪用されずに眠っていたバグを兵器化する方法を発見し、インターネット上の各国政府は現在、一週間をかけてその駆除に取り組んでいます。

---

AIの最新情報をお届け

AIの最新ニュース、分析、ブレイクスルーを一箇所で。

AIニュースをもっと読む →