世界で広く使われるプログラミング言語『PHP』に重大な欠陥が見つかったことで、企業などが相次いでホームページを一時閉鎖しました。影響は行政や病院にも広がっています。
【画像】世界の7割で使用『PHP』とは？重大欠陥で“影響拡大”ホームページの一時閉鎖相次ぐ
世界の7割で使用「最大級脅威」
その足音は、私たちの生活にも迫っていました。埼玉県越谷市にある海鮮寿司居酒屋では。
居酒屋 沖ちゃん 渡邉一さん
「『がやポン』というシステムが使えなくなったという連絡があった」
越谷市が物価高対策として市民に配布した電子クーポン“がやポン”。市は、緊急メンテナンスを行うとして、サービスを一時停止していました。
居酒屋 沖ちゃん 渡邉一さん
「お客様には最初『がやポン使えません』と説明した。お客様に多大な迷惑をかけてしまう。怖いですね」
それはアメリカでも。
FBIサイバー部門のX
「機密データやネットワークを潜在的に侵害する可能性があります」
イギリスでも。
英国家サイバーセキュリティーセンター
「速やかな対応が難しい場合には、サイトの一時遮断も検討を」
そして、日本でも。
高市総理のX（21日）
「皆様に、今夜に対応して頂きたい大至急のお願いです」
世界中を駆けめぐった、PHPに欠陥が見つかった問題。PHPとは、webサイトやアプリの裏側で動き、画面表示や入力処理、データ保存を助けるプログラミング言語です。インターネットを便利に操作するために大切な役割を持ち、世界のwebサイトのうち、7割近くが活用しているとされています。
問題が広がったきっかけは20日。開発者らが“重大な欠陥が見つかった”と発表したことでした。
PHPのホームページ（20日）
「2つの重大な脆弱（ぜいじゃく）性を修正します。PHPを使っているなら、今すぐアップデートすることが不可欠です」
そして日本時間の21日、午後11時に予定していた修正プログラムが公開され次第、速やかに対応するよう呼び掛けました。
AIを活用して欠陥を特定し、PHPの開発者らに通報したメンバーの1人、シュワルツ氏は、こう指摘します。
PHPの欠陥を特定 ウィズリサーチチーム トマー・シュワルツ氏
「業界は最大級の脅威と見ている。ネットの向こう側の誰かが認証なしに、あらゆるコマンドを実行し、乗っ取りができる。脆弱性はいつから存在していたのか、12年間検知されなかった」
つまり、攻撃者が悪用すれば、サイトやサーバーのシステムを破壊したり、情報を盗み取ることもできるということ。ただ、この話には続きがありました。
PHPの欠陥を特定 ウィズリサーチチーム トマー・シュワルツ氏
「公表前に脆弱性の情報が漏れてしまったのは残念。予定より2日早く漏れたため、修正を急ぎ、公開の前倒しを迫られた」
企業や医療機関“HP停止”措置
そのため、22日にかけて世界中が対応に追われました。オランダやフィンランドでは政府のサイトを停止。日本では銀行のインターネットサービスや飲食店の予約アプリを企業側が停止しました。政府は。
木原稔官房長官
「今のところ、関係する被害の報告は受けておりません。例えば厚生労働省、財務省等の一部のコンテンツについて、予防のため一時的に公開の停止措置を講じているものがある」
一方で、こんなケースも。BBCは、ネット通販大手のアマゾンで、今月17日にPHPの脆弱性を悪用しようとした痕跡があったと報じています。悪用の試みは、修正プログラムが公開される前に起きたものだということです。
国内で修正プログラムの対応はどのように行われているのでしょうか。医療機関のホームページ、約300件に対応している会社『アイトリート』。21日は午後7時ごろからクライアントに連絡を取り始め、一部のホームページを閉鎖したといいます。
アイトリート 木村健太社長
「昨晩も午前2時まで対応したメンバーも社内にいる。個人情報の量だったり、決済機能があるないで、こちらから提案して（ホームページを）閉じさせていただきますと。連絡がつかないケースでも、先手を打って昨晩の間に閉じた。比較的、お叱りを頂くというよりは、先回っておいてくれてありがとうと」
求められたのは、被害を未然に防ぐための判断です。安全を守る現場では対応が続いています。
アイトリート 木村健太社長
「やはり保守を預かっている以上、個人情報が流出する方が損害であると考えると、ここは譲れない。23日も対応は少し続くので、今週中にはきちんときりをつけたい」
世界中で利用“PHP”とは？
PHPとは、どういうものなのかみていきます。例えばインターネットの通販サイトで買い物する時「サイズ」「冬物」といった検索をかけて、条件に応じた商品が画面に表示されます。PHPとは、このように利用者の操作に応じてサーバー内のデータを探して、画面に表示する役割を担っているもので、ウェブサイトの裏側で色々と働いている存在です。
PHPがどんな働きをしているのか、サイバーセキュリティ対策に詳しい、ラックの仲上竜太さんは、レストランなどで食事する場面を例えに挙げています。
まず、客は食べたいものを注文します。こういった注文が、我々がウェブサイト上で行う“操作”にあたる。注文を受けて食べ物を作る厨房は、ウェブサイトの“サーバー”で、食材は“データ”、冷蔵庫が“データベース”にあたります。客の注文に応じて食材を取り出して、料理して客に出す“料理人”がPHPになります。料理人が作って客に出された“料理”は、ウェブサイトで表示される“画面”にあたります。
PHPの弱点悪用の危険性
今回発見されたPHPの重大な欠陥とは何なのか。大量の注文や、メニューに書いていない特殊な注文が入って、料理人がパニックになってしまうことだといいます。つまり、膨大な指示などに対応できず、サーバーシステムに不具合が起きてしまうということです。
不具合とはどういうことかというと、パニックになった料理人を遠隔で操作して、食材を盗んだり、厨房全体を支配することが可能になります。言い換えると、個人情報を盗んだり、サーバーを支配して壊したり、乗っ取る恐れが出てきます。
ラック 仲上竜太さん
「今回のPHPの問題は、世界の約7割のサイトが使っているとされる重要な情報基盤に、“共通の弱点”があることが明らかになってしまった。極めて脅威度の高い事態といえる」
修正プログラムが公開されて対応が進んでいますが、これで大丈夫なのでしょうか。
ラック 仲上竜太さん
「利用者一人一人が対応できるものではない。全てのサイトがアップデートされるわけではないので、改ざんされているサイトがあるかもしれないと常に注意をしながら、インターネットを使用しないといけない時代が到来している。改ざんされたサイトに気付くのは非常に難しいので、クレジットカードの不正利用がないか明細を定期的に確認するなど、自衛の取り組みも必要」
