PHPに重大な弱点2件、首相が「大至急」の呼びかけ　直すのはサイトの運営者

高市首相は21日21時55分、Xに「今夜に対応して頂きたい大至急のお願い」と投稿した。公開しているサイトでPHPを使っているかを確かめ、23時に出る修正パッチを速やかに当てられるよう準備してほしい、すぐに当てられない場合はサイトを一時的に止めることもリスクを下げる有効な手の一つだ、という内容だ。これに先立ち、国家サイバー統括室は同日13時すぎにXで同じ趣旨の注意を出し、情報処理推進機構（IPA）も、PHPを使っているシステムの洗い出し（棚卸し）と、公開後すぐに適用するための準備を求めた。PHPの開発チームは日本時間21日4時30分に「23時に修正版を出す」と予告しており、その前には発表前の脆弱性の番号がネットに漏れ出していた。ITmedia NEWSは首相の投稿を「Xで異例の要請」と報じている。

PHPは、ウェブサイトの裏側（サーバー）で動くプログラムの言語だ。お店にたとえると、客席ではなく厨房にあたる。見る人がページを開くたびに、注文を受けて料理を作るように、その場でページの中身を組み立てて送り返す。調査会社W3Techsの21日時点の集計では、使っている言語がわかるサイトの69.3%がPHPで、報道の「サイトの約7割」はこの数字だ。ブログや会社・お店のサイト作りで広く使われるWordPressもPHPで動く。一方で、PHPは見る人のスマホやパソコンには入っていない。

見つかった2件はどちらも、ログインしていない相手でも、外からサーバーに好きな命令を実行させられるおそれがある弱点だ。サイトの乗っ取りや情報の漏えいにつながりかねない。深刻度は国際的な物差し（CVSS v4.0）で9.2と、いちばん重い区分に入る。流出した情報では10.0とされていたが、これは誤りだった。PHPの公式サイト（php.net）は修正版の8.5.12・8.4.27・8.3.36・8.2.35を公開し、「完全な回避策はなく、更新が唯一の安全な選択肢」としている。ウェブの要求を処理しているPHPは広く対象になり、公式のサポートが終わった8.1以前には通常の修正版が出ない。悪用については、米国のネット防御会社クラウドフレアが攻撃の通信を観測したと公表した一方、米国の政府機関CISAは公表時点で悪用を観測していないとし、IPAも事前の告知の時点で悪用を確認していないとした。攻撃の試みは観測されているが、侵入の被害は22日朝の時点で公には確認されていない。今回の弱点は、AIを使った調査で見つかったと複数の報道が伝えている。

対応は一気に広がった。21日午後からネットショップ作成のBASEや保育園向けのコドモンがメンテナンスに入り、夜にはpixiv、niconico、サイゲームスのゲーム、さくらインターネットの一部のサービスなどが緊急メンテナンスや一時停止に入った。止まったのはIT企業だけではない。日経によると、静岡銀行がネットバンキングを一時停止し、七十七銀行も予防的に一部のサービスを止めた。みずほ銀行は来店予約を、大和証券は口座開設を含むウェブのサービスを一時止め、三菱UFJモルガン・スタンレー証券も本人確認などの手続きを止めた。日本航空も予約サイトなどの一部の機能を止めたが、予約や運航には影響がないとしている。全国銀行協会は銀行間の決済への影響は確認されていないと説明した（日経）。ITmedia NEWSは、首相が一時停止を有効な手の一つと示したことが、経営層が停止を決める後押しになりうると指摘している。海外でも同じ日に、オランダやフィンランドで政府などのサイトが予防的に止められ、CISAはすぐ更新できない組織にPHPのシステムをネットから外すよう求めた。

サイトを見るだけの人がやることは、基本的にない。使っているサービスが止まっていたら、公式サイトや公式のXのお知らせで再開を確かめればよい。「PHP対策」などをうたうメールやSMSが届いても、念のため、リンクを開く前に公式の発表と照らし合わせたい。株の世界では、21日の東京市場でFFRIセキュリティが5.19%、サイバーセキュリティクラウドが4.80%上げ、セキュアヴェイルはストップ高になった（Yahoo!ファイナンス・株探）。ただ、これらの銘柄は10月に入ってからPHPと関係なく大きく上下しており、21日の上げをPHPが理由とした報道は見当たらない。米国の21日はゼットスケーラーが7.84%、クラウドストライクが5.26%、クラウドフレアが約5%上げた。この先は、修正がどこまで早く行き渡るか、公式の修正が出ない古い版を使うサイトがどう移行するか、止まったサービスがいつ再開するかが焦点になる。