クラウドフレアCEOが警告「今の騒ぎは、そのうち毎週のように感じるようになる」
インターネットの影のインフラを支えるクラウドフレアの最高経営責任者が、今後数週間から数ヶ月にかけて、重要なソフトウェアの深刻な脆弱性の発見と公表が相次ぐとの見通しを示した。すでに公表前の別の脆弱性も把握しているといい、「今は異例に感じる騒ぎが、2日後には毎週のように感じられる可能性がある」とまで言い切った。これは「ある日突然、過去最大の被害が確定する」という発表ではない。むしろその逆で、インターネットの要所にある重大な弱点が順次見つかり、公表され、運用者が対応に追われる状態が常態化する、という予言だ。
「山を超えたと思ったら山脈だった」予告された静かなる嵐
問題の核心は、公表の“密度”が上がるという点にある。CEOは、今後数週間から数ヶ月の間に重要ソフトウェアの深刻な脆弱性が次々と公表されると予測しており、その一部はすでに公表前の段階で把握済みだという。つまり、世間がまだ知らない穴が、公式の耳には既に入っている状態だ。
運用者にとってやっかいなのは、この「予告」の扱いである。名前を先に公表すれば攻撃側にヒントを渡してしまう。かといって伏せれば、守る側が構えられない。どちらを選んでも損をする二択を、業界は今まさに突きつけられている。
すでに始まっているPHP脆弱性の実戦
警告は机上の話ではない。直前には、Webサイトの基盤として広く使われるPHPで深刻な問題が公表され、実際に攻撃の試みも観測されている。クラウドフレアは自社予測より早いタイミングでPHP向けの防御を展開し、無料プランを含む全利用者に対策を適用したと説明する。
ただし、守る側がルールを更新すればそれで終わりではない。攻撃側は送り込むデータの中身を変え、防御の目をかいくぐろうとしており、防御ルールと回避工作のイタチごっこが既に始まっている。さらにクラウドフレアは、通信の入り口だけでなく、サーバーが返す応答まで合わせて検査する方式の防御を投入した。要求の内容だけでは正常な通信と攻撃を区別しにくいケースが増えてきたためだ。不審なトラフィックを相手に届く前に止める仕組みも併用されており、インターネットの警備は空港の出国審査さながらに二重化しつつある。
10月23日、修正済みのPHPまで巻き込む「別の穴」
やっかいなのはここからだ。10月23日には、PHPのファイル送信の進み具合を扱う機能に関連する別の脆弱性の情報が公表された。特定の設定とアプリケーションの処理が重なると、なんと修正済みのPHPまで影響を受ける。しかもクラウドフレアによるルールベースの防御には条件があり、送信進捗を示す項目にPHPの標準的な名前を使っていることがその条件のひとつだ。過去に独自の名前へ変更していたサイトは、この防御ルールの対象外になってしまう。
同じバージョンを使っていても、設定の違いまで確認する必要が出てきたわけだ。修正はPHPの次の通常リリースで予定されているが、それまでの間は「更新したのに守られていない」状態が混在しうる。管理画面の更新ボタンを全部押して安心していたら、その下のPHP本体は別担当でした、という構造的な落とし穴も残っている。ホスティング会社に管理を任せている場合は提供会社側の対応が、自分で組んだ環境ではすべての判断が、そのまま自分の責任として返ってくる。
運用者に求められるもの
PHPの問題は、サイトの見た目やプラグインを更新するだけでは解決しない。アプリを動かしているPHP本体の更新が必要で、クラウドサービスを使っていても本体側の修正は必要とされる。緊急対応を通常業務に組み込んだ瞬間、通常業務のほうが緊急事態になる、という皮肉を現実のものにしないためにも、自分が使っているソフトウェアと、その更新の担当者が誰かくらいは、あらかじめ把握しておくに越したことはない。
ネットの反応
毎週は死んでしまいます…せめて隔週で土日は帰らせて…
まだ出せない情報を持ってるのは分かるけど、別のソフトにもありますって言われたら気になる。自分が使ってるやつかどうかだけでも知りたい
名前を先に出したら攻撃する側にもヒントになるし、出さなかったら運用する側が構えられない。嫌な二択だな
今月の山場を超えたと思ったら山脈でしたってことかよ。しかも向こうの山をもう見てる人が言ってるの、嫌すぎる
AIが欠陥を発見して直す方と破る方で競い合ってますよね。AI時代に入ってからネットトラブルばっかりだ
穴の発見が自動化して休日出勤だけ手動で残るのやめろ。そこも進化してくれ
過去最大級が来ます、より「そのうち毎週になります」の方が怖かった。特別番組じゃなくてレギュラー番組にするな
AIの所感
今回の警告で本当に重いのは、「過去最大級の事故が来る」という派手な予言ではなく、「今は非常事態と思っている状態が、やがて日常になります」という地味な宣言の方だと思う。脆弱性の発見と修正は本来、防御が進歩している証拠でもある。だが、発見のペースだけが上がって、直す側の人数と休日がそのままなら、崩れるのは現場の人間の方だ。攻撃側がAIで自動化を進める一方、防御側の対応は手作業と休日出勤に依存している、という非対称さが続けば、被害の総量は増えていく。組織は「更新しろ」という前に、「誰が、いつ、どの時間を使って更新するのか」までを業務として設計する必要がある。通知を消しても穴は消えない。だが、更新担当者のキャパシティを無視した通知の洪水もまた、別の形の事故を生む。