# tbs フォードキャスト 発信型ニュースプロジェクト HP セッション PHPをめぐる影響を未だ続く。 世界のおよそ7割のウェブサイトで使われているプログラミング言語 PHPに重大な欠陥が見つかった問題で 省庁や企業では、サイバー攻撃を防ぐための予防措置として ウェブサービスの一部を停止する動きが広がりました。 また、ヨーロッパやアメリカの公的機関でもウェブサイトを閉鎖する動きが広がり アメリカのFBI、連邦捜査局は、不正アクセスの兆候が見つかった場合 FBIに通報するよう求めています。 この問題は、昨夜、PHPのセキュリティチームが 極めて重大な脆弱性が2つ見つかったと発表 昨日午後11時に修正プログラムを公開し 直ちにアップデートするよう強く呼びかけていました。 それでは、昨夜から話題となっているこのPHPの重大欠陥について ITジャーナリスト三上陽さんに 先ほど千木さんがお話を伺いましたのでお聞きください。 三上さん、こんばんは。 こんばんは、三上陽です。よろしくお願いします。 さて、昨夜から話題となっているこのPHPの重大欠陥ですけれども 一体どういった問題が起きていたんでしょうか。 PHP、これはサーバー、いろいろな企業のウェブサイト等で動いているプログラム いわば、私たちが使っているインターネットの裏側で動いているプログラム ここに重大な脆弱性が見つかりました。 脆弱性というのは10段階評価で評価があるんですが そのうちの9.2という事実上の史上最悪の脆弱性ということです。 この脆弱性、具体的にはどんな問題があったんですか。 これは、このPHPというプログラム、大元のプログラムに データを無理やり入力したり、またメモリを溢れさせるといった攻撃をすると そのプログラム自体が止まってしまう。 勝手な攻撃者側が挿入する命令文を勝手に実行できたりするんですね。 つまり、この脆弱性を攻撃することで乗っ取ったり、侵入して情報を抜き取るということも 可能になってしまうという弱点です。 この弱点が昨日見つかって以降、各プログラマーや現場が 本当に忙しなく対応していたかと思います。 これ対応していなければどういった状況になったんでしょうか。 もし対応せずに脆弱性が放置されていた場合 犯罪者側がこの脆弱性を突いて、挿入するプログラムやコードを発見して それを使えば、企業のサーバーが侵入されたり、被害に遭ったりする。 具体的には、例えば情報が盗み取られる。 私たち個人がそのウェブサイトに登録している情報を盗み取られたり また、そもそもファイルを消されたり、もしくは犯行声明のように勝手に書き換えられたり 場合によっては、ランサムウェア攻撃、暗号化して使えなくして 金を払えば元に戻してやるぞというふうに脅すという場合もあると思います。 いろいろな企業がこの件について対応しましたが 個人個人のレベルで対処すべきこと、できることというのはあるのでしょうか? まず、個人のレベルでブログなどを運営されている方もいると思います。 一番有名なのはワードプレスですね。 ワードプレスというブログのプログラムは、いろいろな方が15年くらい前から使っていらっしゃいます。 自分で運営されている方は、このPHPを最新版にするという行為が必要です。 それ以外の一般ユーザーの方、今回は直接的な影響はありません。 各サイトが対応するのを待つということが重要であって、何もする必要はないんですね。 ただし、便乗の詐欺が出る可能性があります。 個人には何の関係もないのに、必ずPHP、脆弱性があるので直してくださいと脅して、 添付のウイルスを実行させる、ウイルス感染させるといった攻撃があるかもしれません。 ですので、そういった騙しのメールが来たとしても、個人だったら無視していいですよということですね。 今回はその欠陥を発見したのがAIということですが、これは一体どういったことだったんでしょう? オープンAIの脆弱性を見つけようというプロジェクト、この一環で見つかったものです。 実は今年の夏前から、AIの各社がこの脆弱性を見つけるという行為で競争をしているんです。 きっかけとなったのはアンソロピックのAI。 このアンソロピックというのは、いわばGoogle、オープンAI、アンソロピック、3社目のAIだったんですが、 ここがうちはとても優秀なものを作ったので脆弱性を見つけ放題、たくさんあるぞという風に言って、 これ公開したら問題になるから公開せずにおくねという一種のプロモーション、力のこじをしたんですね。 それにこうして、実はGoogleもやる、オープンAIもやる。 今回はオープンAIが見つけた脆弱性だったということです。 脆弱性を見つけるということ自体は、安全を守る、今後の穴を塞ぐために重要なんですが、 ここでAI自体の競争が脆弱性の発見ごっこになっていて、 結果としてそれがサイバーセキュリティの怖さというか、攻撃されてしまう穴を見つけちゃうんだね、怖いねということにもつながっています。 また脆弱性が見つかった場合に、その対象を世界各国に呼びかける際、そのコミュニケーションの難しさというのはどんな点にあるんでしょうか。 一気にですね、このPHP、世界中のウェブサイトの7割、場合によっては8割が使っている。 その人たち全員に、運営者全体にリーチする方法がないんですね。 ですので、多くの場合は今回はXだったり、もしくは日本のように総理が呼びかけるということで対応してきたことになります。 しかし、いまだにまだ何の対応もしていないサイトもありますから、まだ情報が行き届いていないという問題もありそうですね。 また、こういった警告によって初めて脆弱性に気づいた、悪意をしようという人が、なるほどそんなものがあるんだったら今のうちに間に合うようにハッキングしようと考えるリスクというのはいかがでしょうか。 はい、それが一番怖かったリスクでございます。 当初この脆弱性というのは、もっと余裕を持って修正プログラムと同時に発表される予定でした。 しかし昨日、掲示板にこの脆弱性の詳しい内容がリークされてしまったんです。 このリークの情報を見れば、裁判犯罪者は攻撃するコード、攻撃するプログラムを作れるようになる。 これはやばい攻撃を受けるよということで、PHPの運営側、オープンソースの運営部隊ですが、これは焦って分かった緊急で23時、21日の23時、日本時間に出すよということで前倒して出したということになります。 これリークというのはどういった意図で行われたのか、それに対するプログラマーや現場の反応というのはどうだったんでしょうか。 これですね、脆弱性の研究をしている、今回のこういう噂がある脆弱性ってのはこれじゃないかということを言った研究者だと言われています。 しかしこの研究者の掲示板を書いたものがですね、セキュリティ会社、一部のセキュリティ会社が実際に試してみたらそうである。 これが脆弱性だということを発表しちゃったんですね。 そのためにリークで不確かな情報だったものが本当の穴じゃんということで大騒ぎになり、結果として最初のリークを書いた人はですね、Xでかなり叩かれているような状況にあります。 その発信のあり方も含めて今後多くの恐怖を残しそうですね。 これだけですね、AIの時代になって脆弱性を見つけるのもAIであれば、脆弱性を突いて攻撃するのもAI、つまりAIの攻防になりつつあるということです。 私たち人間の及ばないスピードや量で大量の攻撃が行われている状況なので、守る側のAIの利用というものもですね、もっと進めていく必要がありそうな気がします。 わかりました。三上さんありがとうございました。 ありがとうございました。