PHPの脆弱性というお知らせの意味が分からなかった私が調べたこと
すごく丁寧な感想をいただきました。まとめて下さったので掲載追記します。
詳しくはロムってろさまの感想を覗いて下さいね。
1. 10年前にリリースされたPHP 5.4のソースコードに脆弱性があったが、誰も気づかなかった。
2. 2024年にPHPのソースコードの脆弱性が発見されたが、攻撃方法がないとされ対応を保留した。
3. 2026年8月に脆弱性に対する攻撃方法が発見されたため対応した。
だそうです。
分からないが一番怖い私。
PHPとは、プログラミング言語のひとつらしいとは、AIに教えてもらったのだけれど、その言語の脆弱性が今回の混乱を招いた。
一応、そういうことなのだろう。しかし、なんだか情報が錯綜していてよく分からなくなってしまった。
簡易ニュースで聞いたのは、もともとオープンAIがその脆弱性についてを知っており、それが指摘されたことで、今回、各会社での緊急通信制御になったということだった。
テレビのニュースでもその程度の情報しか出ていなかったらしいとは聞いたのだけど。
だけど、ネットのギガジンという情報誌には、また別のことも書かれてあった。
そもそもオープンAIにいる研究者のひとりとAIによって、その脆弱性を見つけることができていた。だから、プログラムを更新しなくてはならなかったことは、内輪では知られていたこと。
それを、とある人物がXで「PHPの脆弱性」が見つかったということを公にしてしまった結果、この突然の騒ぎになってしまったというのだ。
公にしてはいけないとは、知らなかったのだそうだ。
そのおかげで、海外では公的機関のネットサービスが制御されてしまったという例まであるとまで書かれてあった。
さらに、他のプログラミング言語にも人では発見できないような脆弱性が見つかる可能性があるため、今回のような大規模制御はまた起きるかもしれないとのことだった。
ただ、このギガジン、私の中ではちょっと大袈裟に書いているなと思う記事が結構あるところだったり……（※個人の印象です）。
…………
日本ではホワイトハッカーチームを検討するらしい。
……
はい、要するに私の情報処理が追いつかなくなって、「政府、大丈夫かな」に繋がったということですね。
そして、なんと、私の行政、PHPの影響を受けたところにばっちり入っていました。
行政……大丈夫かな。
参照ページにある”一番分かりやすいと思ったところのサイト”を見てみると、今回の出来事、半分は人災だなということでした。この穴、十年前から見つけられていたんだそうです。だけど、その穴にどうやって攻撃が仕掛けられるかという方法が見つけられなくて放置。
そして、今回、AIがその攻撃方法を理論立てたため、修正をしなければ攻撃されることが証明されたとなったようですね。
さらに、オープンAIがその脆弱性を見つけたのは8月。ひとりの研究者とAIが見つけたそうです。そして、修正版は本来22日にリリース予定とされていました。
だけど、10月20に内部情報流出の事実が分かったため、それを一日早めることになったそうで。
『一日早めることにはなったが、結果、ハッカーよりも早く行動できた』というのが一応オープンAIの言い分らしいのですが、それまでに外部がその脆弱性をほんとうに知らなかったのか……というと、疑問があったりもしますよね。
だって、ここで起きたこと思い返すと、あの変なフィッシング詐欺紛いのバナーが出たのって、20日より前だった気がするんですよね……運営からのお知らせは20日でしたけれど。
PHPの脆弱性からホームページの乗っ取り、そしてフィッシング詐欺広告が……ということも書かれてありましたし。
PHPの脆弱性と聞いて、驚いて、何が起きるの？と、たくさん調べて見ましたが、どれだけ調べても、本人でないと分からないことは分かりません。
内部情報流出についても、今回のサイバー攻撃が、この脆弱性を突かれたのかというところも。
分かったことは、その脆弱性にたいして、セキュリティの強化などの対応ができるのは、ホームページなどを管理している側であり、私にできることといえば、怯えすぎず、パスワードの使い回しはしないくらいしかできないのかなと思いました。
ほんとうに、悪い人って、いつの時代も変わりませんね。
とにかく私は「頑張れ、新生ホワイトハッカーチーム！」とエールを送ることしかできません。
最後に相互様は何人か確認できていますが、二段階認証で戻ってこられない方がいませんように……。
そして、対応に追われた皆さま、ほんとうにお疲れ様でした。
小説家になろう運営の皆さま、深夜の対応、ほんとうにありがとうございました。
※追記
この脆弱性を見つけたところ、ウィズっていうセキュリティ会社って書かれているところもありますね。
《参考》
https://mainichi.jp/articles/20261024/pr2/00m/020/020000c
毎日新聞プレリリース（今回の脆弱性に対する詳細はここを参照しています）
https://note.com/limber_plover811/n/n4dc379fda515
（こちらは、エンジニアの方のお話です）
https://tech-go.jp/trend/php-vulnerability-php2shell
（これが一番分かりやすく今回のことが書かれていました）
https://www.msn.com/ja-jp/technology/artificial-intelligence/%E3%82%AA%E3%83%BC%E3%83%97%E3%83%B3ai-%E5%86%85%E9%83%A8%E6%83%85%E5%A0%B1%E6%BC%8F%E6%B4%A9%E7%96%91%E6%83%91%E3%81%A7%E7%A0%94%E7%A9%B6%E5%93%A1%E8%A7%A3%E9%9B%87-%E3%81%9D%E3%81%AE%E7%9C%9F%E7%9B%B8%E3%81%AF/ar-AA2fXjLg?ocid=msedgntp&pc=FSTS&cvid=6adc8ed313ae4f838f34b0358fe951e5&ei=13
（こちらは、まだ未確定なところはありますが、内部情報流出に関するもの）→もしかしたら、これ開けないかもです。
※追記
https://innovatopia.jp/cyber-security/cyber-security-news/119265/
↑こちらに、情報流出の経緯が書かれてありました。こちらはちゃんと開けるはずです。
https://openai.com/ja-JP/index/coordinated-disclosure-of-critical-vulnerabilities/
→こちらはオープンAIが出しているもの。
