【ACT23日】　　　インターネットの大部分を支えるプログラミング言語に潜む脆弱性が発見され、世界各国の政府や企業がシステムの修正に追われている。

人気のプログラミング言語「PHP」に重大なサイバーセキュリティ上の脆弱性が発見され、各国の政府や企業が時間との戦いを強いられている。PHPは、オンラインストアやニュースサイト、政府サービスなど、世界のウェブサイトのおよそ70％を支えている。脆弱性を発見したサイバーセキュリティ企業のウィズ・リサーチが明らかにした。

専門家は、今回の脆弱性を悪用したハッカーによる被害の全容が明らかになるまで、数カ月かかる可能性があると警告している。英国では、テクノロジー担当相のロイド・オブ・エフラ男爵によると、32の政府サービスが停止し、4つのサービスが一部利用できない状態となった。

同氏は、この措置について、セキュリティ更新を適用する間にシステムを保護するための「予防的措置が主な理由」だと説明した。英国政府は停止したサービスの具体的な内容を明らかにしていないが、一般向けの重要サービスには影響していないとしている。BBCはウェールズの自動車整備士を取材し、同国のオンライン自動車登録データベースに正常にアクセスできなくなっていると報じた。

一方、数百万のウェブサイトにインターネットインフラやウェブセキュリティサービスを提供するグローバルなクラウドプラットフォーム、クラウドフレアのCEO、マシュー・プリンス氏は、今回の脆弱性が公表される前の10時間だけで、同社のネットワーク上でPHPの脆弱性を悪用しようとする試みが「数千件」確認されたと述べた。「公表後45分で数万件に増え、2時間以内には数十万件、そして現在では数百万件に達している」と同氏は語った。

アマゾンも、ハッカーが脆弱性の悪用を試みたことを明らかにしたが、同社のウェブサイトは通常通り稼働しているとしている。サイバーセキュリティを専門とするオランダの政府機関、フィンランド政府、ウィキペディアの一部も一時的に停止したが、22日までに復旧した。

一方、BBCによると、22日には複数のウェブサイトが停止したとみられている。運営者がPHPが自社システム内で稼働していないか、修正プログラムの適用が必要かを急いで確認しているためだという。フランスでは、通信大手オレンジがセキュリティ更新を行うため、世界各地で一部サービスへのアクセスを遮断した。

サイバーセキュリティ研究者は、PHPを利用する企業の対応が十分な速さで進んでいないと警告している。世界的なサイバーセキュリティ企業NCCグループでサイバーインテリジェンス・レスポンス部門の副社長を務めるマット・ハル氏は、「対応できる時間は劇的に短くなっている」と指摘した。

オーストラリアでは、サイバー防衛機関やオーストラリア統計局（ABS）を含む政府関連ウェブサイトが、世界各地の数百のサイトとともに21日夜に停止した。緊急のセキュリティ更新のために停止されたサイトは、政府の公式ポータルや地方自治体のサイトから、ゲームやECプラットフォーム、人気のインターネット掲示板まで多岐にわたった。

米国家安全保障局（NSA）は、PHPを利用しているすべての組織に対し、直ちに修正プログラムを適用するか、システムをオフラインにするよう勧告した。NSAは声明で、「こうした脆弱性は、サーバーのファイルシステムやデータベースへの直接的な侵入経路を提供することが多い」と説明した。

オーストラリア信号局（ASD）もXへの投稿で、PHPを利用している組織や個人に対し、更新と修正プログラムの適用に備えるよう呼びかけた。ASDの投稿には、同局のウェブサイトに掲載された「完全な警告を読む」ためのリンクが含まれていたが、そのウェブサイト自体が停止していた。その後の投稿でASDは、「cyber.gov.auを含む政府ウェブサイトに影響している可能性のある障害を認識している」と説明した。

また、「PHPを利用している組織や個人は、PHP公式の指針を確認・監視し、利用可能になったセキュリティパッチを適用するように」と呼びかけた。cyber.gov.auは22日午前中までに復旧した。ASD傘下のオーストラリア・サイバーセキュリティ・センター（ACSC）は、今回の脆弱性について「現在のところ、脆弱性に関連した実際の悪用は把握していない」としている。トニー・バーク内務相にはコメントを求めている。

今回のセキュリティ上の欠陥を悪用されると、攻撃者はパスワードを必要とせずにウェブサーバーを乗っ取ることが可能になる恐れがある。PHPファウンデーションのセキュリティエンジニア、フォルカー・ドゥシュ氏は、今回の問題はPHPが過去10年以上にわたって直面した中で最も深刻なものだと述べ、2014年に発見され、世界規模で緊急の修正対応が行われた脆弱性「ハートブリード」に匹敵すると指摘した。

ソース：news.com.au – ‘Days or hours’: Cyber expert’s dire PHP warning as companies race against time to patch systems