【緊急】Webのアキレス腱が露出した PHPに致命級2件、23時から「15分」の逆算が始まる
インターネットの裏側を支えるプログラミング言語PHPに、深刻度9.2（10点満点）の重大な脆弱性が2件見つかった。修正版の公開は10月21日、日本時間23時に予定されている。開発チームがあえて公開前に更新の準備を呼びかける異例の事前予告を行い、セキュリティ業界は「公開後15分で攻撃が始まる」という冷徹な予測で警戒を強めている。今夜、世界中のサーバー管理者にとって眠れぬ夜になることはほぼ確実だ。
致命級「9.2」が2件同時に
脆弱性評価で9点台が付くのは、実質的に「野放しにすればほぼ確実に乗っ取られる」レベルを意味する。その9.2が今回同時に2件確認された。両方の詳細な内容と影響を受けるバージョン、修正済みバージョンは、修正版のリリースと同時に公表される予定だ。ただし、詳細が事前に流出して悪用が確認された場合は、予定を前倒しして緊急リリースを出す可能性も開発側は示している。
厄介なのは「修正版が出れば終わり」ではない点だ。修正パッチの公開は、防御側にとってはゴールだが、攻撃側にとっては「どこが穴だったかの答え合わせ」の開始でもある。パッチの差分を解析すれば、未更新のサーバーがどこに穴を抱えているかを逆算できてしまう。この時間差こそが、脆弱性対応で最も危険な「窓」と呼ばれている。
「公開から15分で攻撃」サンセックの予測が示す新時代
セキュリティ企業のSansecは、修正内容の公開から15分以内に攻撃が開始されると予測している。これは確定した時刻ではなく予測値だが、「公開後に慌てて対応を考え始めるのでは遅い」という警告として受け止めるべき数字だ。かつてはパッチ公開から悪用までに数日〜数週間の猶予があることも珍しくなかったが、AIの登場で状況は一変しつつある。修正前後のコードをAIに読みさせれば、人間が何日もかけて行う差分解析と攻撃コード生成が数分に圧縮される。攻撃側の解析速度は構造的に加速しており、15分という数字はもう非現実的ではない。
サーバーの約7割がPHP ただし「使っている」と「狙われる」は別物
PHPは、ページ表示やデータ処理をサーバー側で動かすプログラミング言語で、WordPressをはじめとする無数のWebサービスの基盤になっている。サーバー側の利用言語を集計するサイトでは、約7割のサーバーがPHPを利用しているとされる。ただし、これはWeb全体の7割が即座に攻撃されるという意味ではない。脆弱性の影響を受けるバージョン構成と、実際に公開されている攻撃経路が一致して初めて危険になる。数字の大きさだけで「明日ネットが壊れる」と受け取る必要はないが、対象となるサイトにとっては死活問題であることに変わりはない。
サイト運営者が今すぐやるべき準備
対応の第一歩は、自社サービスでPHPがどこで・どのバージョンで動いており、誰が更新するのかを把握することだ。自分で管理するサーバーと、レンタルサーバーや事業者に管理を委託しているサービスでは更新の主体がまったく違う。レンタルサーバーなら事業者のお知らせページを確認するのが出発点になる。バックアップの取得と、更新が失敗した場合の切り戻し手順の準備も必須だ。修正版が公開されたら、ログインや注文などの重要機能が正常に動くかの動作確認まで含めて初めて「対応完了」になる。
注意したいのは、PHP本体の更新と、WordPressの管理画面に表示される更新通知は別物だという点だ。管理画面の赤いバッジを消したからといって、サーバー側のPHPが修正されたわけではない。「最新にしました、どこの部分を?」という会話が生まれないよう、バージョン番号と作業記録を残しておくことが、いざという時の生命線になる。
一般ユーザーにできること 「再起動では直らない」の正体
サーバー側の脆弱性は、ユーザーが自分のPCやスマホを更新しても修正できない。ブラウザを再起動しても向こうのサーバーは直らないのだ。それでも被害を広げないためにできるのが、パスワードの使い回しを減らすことと、二段階認証の有効化だ。そして今回最も警戒すべきは便乗詐欺である。「緊急メンテナンス」「今すぐパスワードを再設定しないと停止します」といった不審なメールが大量に流出する時期と、修正版公開のタイミングは必ず重なる。届いたリンクを急いで踏むのではなく、いつも使うブックマークや公式アプリからサービスにアクセスする習慣が、この夜は何より頼もしい味方になる。
ネットの反応
23時から緊急アップデートって、寝る準備してる時間に本番を持ってくるのやめてくれ。しかも2件とも9点台って、片方だけでも十分嫌な数字だろ。
そうか、今日あちこちで緊急メンテナンスが起きていたのはそのせいか。止まっているサイトを見た時に理由まで考えが及ばなかった。
AIを使えば旧版と対策版を比較して、旧バージョンのどこに穴があるか速攻で突き止めちゃうってことか。攻撃側の速度が上がるのは本当にやめてほしい。
「15分で攻撃」はあくまで予測だぞ。23時15分に全てが終わるみたいな受け取り方をしたら、それはそれで別の混乱を呼ぶ。
担当者が誰なのか、いざ23時になってから聞き始めるのが一番怖い。誰が更新するのか不明のまま長年動いているサイト、って言葉だけで既に怖い。
裏側の保守って成功した日は何も起きないから目立たないんだよな。何も起こさないために準備しているのに、無事だった日の評価が一番雑になるのは気の毒だ。
AIの所感
今回の騒動の本質は、脆弱性そのものより「修正の公開と悪用の間隔」がAIによって圧縮されている点にあると思う。従来、パッチ公開は防御側の勝利を意味したが、今や攻撃側のスタートの合図でもある。15分という予測が毎回的中するわけではないが、人間が寝静まる深夜に公開される緊急アップデートと、差分解析を数分で終えるAI攻撃手を同じ土俵に置いて考えれば、準備のある運営とない運営の差は残酷なほど開く。そして一般ユーザーにとって本当に危険なのは、脆弱性そのものより、不安に駆られた人々を狙って夜間にばら撒かれる便乗詐欺のメールだろう。慌ててリンクを踏まない、これだけで今夜の被害の相当部分は防げる。