# 「PHP」と「脆弱性（ぜいじゃくせい）」って何？ こんばんは、エンジニアのおうちでまったり、 青少尉賞ラジオのニューブルーです。 この番組は、エンジニアだからお伝えできることや、 響きになったことなど、楽しくITを学べるチャンネルです。 聞きに来てくださって、ありがとうございます。 今日の今更聞けないIT用語ですが、最近めっちゃ騒がれているとか、 昨日からですね、騒がれまくっているPHPと脆弱性についてお話ししていきたいと思います。 PHPとか脆弱性ってね、特に脆弱性って漢字が難しい漢字使われているから、普通の人は読めないんです。 脆弱性に関わっている人しか読めない。 何弱性って読みますか。ぜひコメント欄で。 変なコメントテーマにしていますが。 まず、PHPって何?ってお話をしていきたいと思うんですけど、 PHP、これニュースとかでもよくやってるんですけど、 世界中のウェブサイトというか、ブログとか、ウェブネットショップとか、ウェブサービスというか、 そういったものに、その裏側で動いている、 もう本当にこれが世界一番大手というか、一番大定番というか、そういったプログラミング言語になります。 これのことをPHPって言うんですけど、 本当にブログで一番有名なワードプレスとか、 この辺り専門用語になってしまうので、ちょっとその辺りは申し訳ないんですけど、 このワードプレスとかもPHPで作られています。 ですので、本当にインターネット上のありとあらゆるもの、 HTMLとかのCSSというのもやったと思いますが、 それは静的なサイトを作るときはそれなんですけど、 動的なサイトを作るときはPHPがほぼほぼ使われているんじゃないかなという、 ニュースによると7割ぐらいは使われているというのが 出てたりとかもするんですけど、 最近ワードプレスを置き換えましょうみたいな話も出てますけど、 この辺りはその辺の変なニュースに劣らされないように していただきたいというのはあれなんですけど、 何でもこれが悪い、あれが悪いというのは絶対出ます。 ネットの世界というか、この後も話していくんですけど、 脆弱性の話になっていくんですけど、 絶対悪いところというかマイナス面は、 人間もそうですけどマイナス面はあるんですよね。 それをどうにかして今あるプラス面を いかに活かしていくかというのは、 本来エンジニアが考えるべきことだと 私は思っているので、 PHPに悪い脆弱性が出た、その前もワードプレスに 脆弱性が出た、 これに乗り換えよう、あれに乗り換えよう というのはエンジニアというか、 本来の道ではないかなと私は思っています。 ちょっと脱線しそうなので元に戻しますが。 もう一つの脆弱性って何なのか。 脆弱性というのはシステム、 今回だとPHPのプログラミング言語だったんですけど、 それにあるセキュリティ上の隙間というか 盲点というか穴ですね。 そういったことのものを脆弱性と呼びます。 お家で例えるならば、 鍵をしっかりかけていた、 でも裏口の鍵はかけてなかったとか、 それはちょっとでかい脆弱性ですけど、 あとは小さい、人間はここを通れないと思っている 窓の鍵はかけ忘れてたとか、 そういったところでも実はここを通ってしまえば 人間が入れないと思っているけど入れるようにできたりとか、 そういった本当に気づかなかったというか、 作ったときに本当に100%のものって人間作れないので、 その数%の穴を、そういったものを脆弱性と呼びます。 この脆弱性というのは本当に先ほども言いました通り、 昔からというか人間が作ったものに欠点は絶対存在します。 なので今回PHPの脆弱性ですごい大慌てになっているのは エンジニアではないんですよね、実は。 エンジニアはもうまた見つかったなぐらいな、 結構脆弱性のレベルが高いので、 10段評価の9.2でしたかねぐらいの 本当に高い脆弱性ではあるんですけど、 本当に普段からそういった脆弱性とか、 エンジニアの方だったらまた見つかったなぐらい、 軽く言うのはあまり良くないかもしれないですけど、 そういったレベルのものなんですよね。 それはなぜこんだけ大慌てになっているのかというのは、 エンジニアじゃない人ですね。 管理、経営層とかその辺りが結構ざわついているだけって言葉が どんどん悪くなっていきますけど、 そういった形なのかなと思います。 ですので、この脆弱性は本当に昔から、 PHPでもそうですし、他のワードプレスもそうですし、 いろんな私がやっているRubyとかもそうですし、 他にPHPの次に一番使われているのはJavaなのかな、 そういったいろんなプログラミング言語、 全て人間が作ったものですので、 もちろん脆弱性は存在します。 それの新しいものが見つかったという形になります。 では、なぜ今回そこまで、 そこまでというと語弊があるかもしれないですが、 これだけの大騒ぎになっているのかというのが、 次のチャプターちょっとお話ししていきたいと思うんですけど。 # 騒がれた本当の理由＝「AIによって、攻撃のスピードが爆速化したから」 騒がれている本当の理由というか、そういったものは、AIの登場によって攻撃のスピードが上がっているからなんですよね。 今までの勢作性って、見つかりましたってなったら公開されて、修正はこっちです。 この修正を直せば、適応すれば大丈夫になりますよっていうふうに、本当に見つかりました。 見つけては直して、見つけては直してっていうのを繰り返しているんですよね。 なので、攻撃する人にとっては、見つかってから防がれるまで、修正されるまでのその時間にいかに攻撃できるかっていう攻撃目線からで考えるとそうなんですけど、 それがAIによって、どんどん攻撃のスピードが上がっています。 さらには、AIを使うことによって人間が作るわけじゃないので、スピードもそうですし、コスト面ですよね。 そういったものも劇的に下がっています。 これまでの時代は、そういった感じで脆弱性が見つかったとしても、悪い人がどうやってやろうかな、どうやって攻撃しようかなとか考えたりとか、 攻撃するメンバーを集めたりとか、そういったいろいろやっているうちに、修正のプログラムが出て、 はい、もう今から攻撃しても無駄です、みたいな状態にされてしまっていたというのはあれなんですけど、そういった感じになってたんですね。 それが、その悪意のある人たちも、そういった攻撃をする人たちもAIを使う時代に今はなっています。 脆弱性を見つけるのも今回AI、8月ぐらいに見つかっていたと言われていますけど、それも見つけたのはAIですし、攻撃しているのもAI、直しているのもAIを使っていたりすると思うので、 本当に何でもAIを使うことによって、何をするにあたってもスピードがどんどんどんどん上がっていきます。 ですので、その脆弱性が見つかった時に、この脆弱性を攻撃するにはどうしたらいいってAIに聞けば、 すぐ答えが数分とか数時間で侵入する方法というか、そういった悪意のあるツールとか、そういったものがAIによって自動生成がすぐできるようになっています。 そうするとすぐに脆弱性を発表してから、すぐにAIによって攻撃ツールが作られて、どこかのサイトが攻撃されるということがされてしまうので、 これはやばいなということになって、脆弱性の修正のパッチが公開されるよりも前に、いろんなウェブサイトがメンテナンス中ですって停止されているのは、 その修正されたパッチを当てるより前に、これ攻撃されるとやばいなということで、すべてのいろんなサービスが閉じられてメンテナンス中になっていっている。 完全に侵入経路をすべてなくすということをすれば、攻撃しようとしてもできないので、それをいろんなサイトでやっているという形になっています。 そんな感じで、今の時代というか、AIによって攻撃のスピードが上がっているということは、つまり守る側もAIのスピード感に変えていかないといけないということなんですよね。 今までのエンジニア、私にとっては今回のやつも、見つかったなぐらいの程度だったんですけど、それを毎回毎回、見つかったな、修正パッチを当てようかとなるスパンが、 運営している、運営というかシステムを使っているお客さんからしたら、別に急がなくていいですよと言われるから、やらなかったと言ったら後悔がありますけど、 そういった感じになったのが、こういう脆弱性が見つかりました。じゃあ、すぐ適用してください。じゃあ、やりますねと慣れるということは、すごく私にとってはやりやすいというか、 これやりたいですと言って、はい、やってくださいと言われるのって、やっぱり一番やりやすいと思うんですよね。 これやりたいですと言って、じゃあ、ちょっと社内の決済を通しますと言って、あだこーだ、あだこーだと言って、1週間、2週間待たされて、やってくださいと言われる。 というかは、すぐに言ったらやってくださいと言われるという環境になるということは、すごくいいことだと思うので、今回のこのPHPの脆弱性を機に、これを機にと言ったらあれかもですけど、 攻撃指定システムダウンとか、情報漏洩してしまっているサイトも、もしかしたらあるかもしれないので、これを機にというのはちょっと言葉が違うかもしれないですけど、 でも、それを本当にこのタイミングで、いろいろいろんな他の会社さんが、企業さんが、そういった脆弱性が出たらすぐ対応するというような考え方というか、そういったルールですね。 運用する側のルールが変わっていくことを、私は今期待しているなという状態です。 # 私たちが今日からできること そして、これって企業さんだけじゃないんですよ。 今回の脆弱性に関しては、PHPなので私たち個人は何もすることができないんです。 でも本当に企業さんが新しい修正のやつを 適用してもらうのを待つだけしかできないんですけど、 今後のこういった脆弱性とかに関して、 私たちも実はできることっていうのが存在していて、 先ほど言った通り、スピードが命です。 一般ユーザーというか私たちが、あなたができることもスピードです。 これ何があるかというと、 スマホとかのアップデートってきますよね。 アプリのアップデートもそうですね。 Voicyさんも今回、タイミングがいいのか悪いのか。 ちょうど昨日、リスナーアプリのアップデートがありましたが、 あれ更新されましたでしょうか。 あれも、更新の通知が来たらすぐに更新するっていうのを 癖づけるというか、そういったものをやってほしいと思います。 アップデートすることによって 不具合とか出ると思いますけど、 それよりもまずはアップデートしてみるぐらいな 癖をつけるほうが私はいいんじゃないかなと思うので、 いろんなアップデートあると思いますが、 これ後にしとこうとか、いろんなOSのアップデートとか、 MacのアップデートとかWindowsのアップデートとかも、 結構やりたくないみたいな感じをしている方が多いかと思いますけど、 それよりもそういった考えをするよりかは、 もっともっとアップデートが来たらすぐに当てるみたいな頭の考え方というか、 そういったものを変えていただいたほうが 私はいいんじゃないかなと思っております。 # まとめ はい、ということでまとめに入っていきます。 今回の脆弱性につきましては、システムとかいろんなそういった人間が作ったものの隙間というか、穴の形ですね、そういったものを脆弱性と呼びますよというお話をさせていただきました。 はい、そして今回PHPの脆弱性が見つかっていますが、なぜこれがこんだけ騒がれているかというのは、脆弱性が見つかったということもそれは一部ではあるんですけど、 それよりも大きいのは、AIによって攻撃するスピードが早まっているということで、早く守らなきゃいけないというのを、 お偉いさん方かと言ったらあれかもしれないですけど、たくさんの人が認識し始めた、それの第一歩というか、それの創動なのかなと私は思っております。 それでこれからの期待としては、本当に攻める側のスピードがAIによって上がっていますので、守る側もAIを使ってスピードアップするのはもちろんのこと、やらなきゃいけないという意識を私たちも持って、 本当にそのスピード感ですね、それを大切にしてどんどんどんどんアップデートしていくというのを、こまめにしていく必要があるんじゃないかなというお話をさせていただきました。 ということで今日の今更聞けないIT用語、今めっちゃニュースになっていたPHP、PHPという言葉を初めて聞いた方もいらっしゃるかと思います。 脆弱性という言葉はもしかしたら初めての方もいらっしゃるかなと思いますが、PHPとか脆弱性のお話をさせていただきました。 ということで最後まで聞いていただきありがとうございました。 このチャンネルでは今更聞けないIT用語シリーズとして身近でよく聞くIT用語だけど、何それってなるような用語を誰にでも分かる形でお話しさせていただいております。 またプレミアム放送もやっております。プレミアム放送では公開できないプライベートな話ですとか、一般放送よりも先に情報を公開するなどプレミアム限定放送を行っております。 初月無料でウェブからの登録で月額200円でやっておりますので、ぜひ私を応援していただける方が入っていただければとても嬉しいです。 そして毎週土曜日の14時から15時、この毎週1時間ですがプレミアム限定で生放送を行っております。 黙々会という形でこの1時間私を自由に使える時間になっておりますので、質問でも相談でもこれやってみたいなどんなご依頼でも構いませんのでプレミアムの方はぜひ使っていただければと思います。 そしてこの黙々会ですが月に1回は通常放送というか一般公開もしておりますので、時間がありましたら参加いただければと思います。 その他各種SNSでも発信活動を行っておりますのでそちらの方のフォローもお願いします。 そしてですね私のLINEスタンプが存在します。 ハムスターが日常を会話する、いつでもどこでも誰でも使える簡単なLINEスタンプになってますのでこちらの方は概要欄の方にリンクがありますのでぜひ使っていただければと思います。 はいということで最後まで長々聞いていただいたそこのあなたまだチャンネルフォローしてない方はぜひフォローボタンの方をポチッとよろしくお願いします。 はいそれでは今日も適当にまったりお過ごしください。ありがとうございました。