PHP Foundationは、意思決定上の問題と限られたリソースにより、2024年に初めて検知された脆弱性に対するPHPのセキュリティ修正が遅れたことを認めた。関連する2つの重大な脆弱性に対する緊急パッチが水曜日に公開されると、政府機関などの組織は予防措置としてウェブサイトをオフラインにした。
重要ポイント
- 同財団は、対応の遅れをセキュリティプロセスとリソースに関わる構造的な失敗と位置付けた。
- この脆弱性により、認証されていない攻撃者が影響を受けるサーバー上でコードを実行できる可能性がある。
- 暗号資産関連組織が影響の有無を確認する一方、CoinbaseとBitGoは影響を受けたシステムはないと報告した。
目次
互換性と人員の問題でPHPのセキュリティ修正が停滞
財団の説明は、既知の技術的な懸念が何カ月も解消されないままとなった経緯に焦点を当てている。開発者は2024年に脆弱性の兆候を確認したものの、ウェブサイトやウェブアプリケーションで広く使われている言語PHPを基盤とする大規模なソフトウェア・エコシステムに支障をきたさない修正策を見つけるのに苦慮した。
当時、開発者はリモートコード実行に至る経路を特定できていなかった。PHPエンジンに関する必要な知識を持つ少人数のグループには、ほかにも担当業務があり、修正作業は何度も中断と再開を繰り返したと財団は述べた。
同財団は、この遅延について、セキュリティチームの意思決定プロセスとリソース不足の両方に起因する「構造的な失敗」と説明した。
セキュリティ企業CalifとOpenAIが8月11日、同じ根本的な問題をそれぞれ独立して報告したことで、この問題は最優先のセキュリティ課題となった。Califは、条件を必要としないリモートコード実行を実証した。
公共サービスで予防的な停止が相次ぐ
緊急リリースを受け、運営事業者がアップデートの準備中にサービスを切断したことで、複数の国で混乱が生じた。オランダはデジタルIDサービスを停止し、同国の国家サイバーセキュリティセンターも自らのウェブサイトをオフラインにした。
フィンランドの政府ITプロバイダーValtoriは政府の公開ウェブサービスを切断し、フランス内務省は県庁のウェブサイトを一時的に停止した。ドイツの連邦ITプロバイダーITZBundも複数のウェブサイトを無効化した。
オーストラリア信号局は、政府関連ウェブサイトのうちcyber.gov.auがPHPの問題の影響を受けたと発表した。日本の高市早苗首相は、運営者に速やかなパッチ適用の準備を促し、直ちにアップデートできない場合はウェブサイトの機能を一時停止することでリスクを軽減できると述べた。
Wikimedia Foundationも、ToolforgeやCloud VPSなどのサポートサービスをオフラインにし、水曜日にはウィキペディアの一部機能に影響が及んだ。
暗号資産関連企業が潜在的な影響を調査
ブロックチェーンセキュリティ企業SlowMistによると、同社のMistEyeサービスは、調査対象となった暗号資産業界の1,488ドメインのうち793ドメインで、PHPが直接使われていることを示す痕跡を検出した。同社は取引所、DeFiプラットフォーム、ウォレットプロバイダーに対し、影響の有無を確認してアップグレードするよう呼び掛けた。この調査結果が示したのはPHPの使用であり、該当ドメインが脆弱であることを確認したものではない。
Cardanoの開発とガバナンスを支援する会員組織Intersectは、潜在的な影響を調査する間、Members Areaを一時的に閉鎖した。
Coinbaseの最高セキュリティ責任者Jeff Lunglhoferは、同社はPHPのインスタンスが外部に露出している証拠を確認しておらず、サードパーティーのサプライヤーにも確認を進めていると述べた。BitGoも別途、自社プラットフォームは影響を受けていないと発表した。
エクスプロイトの状況と実証されたリスクは別問題
リモートコード実行のリスクが実証された一方、PHPのセキュリティチームは、公表時点で機能するエクスプロイトを確認していないと述べた。
OpenAIはGitHubを通じてCodexスキルを公開し、運営者が脆弱性の可能性があるPHPのバージョンを確認し、適用可能なアップデートを特定できるよう支援した。
結論
緊急パッチは差し迫った脆弱性に対処する一方、財団の認めた内容は、パッチを遅らせたプロセス上の不備を浮き彫りにしている。報告されたウェブサイトの停止は予防措置であり、影響を受けた組織が侵害された証拠ではない。
ニュースをもっと読む
免責事項
この記事はFinanceVelixが提供する一般情報であり、個別の金融、投資、法律、税務に関する助言ではありません。市場価格、金利、経済状況は変動する可能性があり、投資には損失のリスクが伴います。記載内容は公開時点で入手可能な資料を反映しており、変更される場合があります。重要な情報はご自身でも確認し、必要に応じて有資格の専門家にご相談ください。資産、企業、サービスへの言及は推奨を意味するものではありません。
