水曜日、ヨーロッパ（Europe）やアジア（Asia）などの政府が、インターネットの多くを支えるプログラミング言語PHPで新たに公表された二つのセキュリティ上の欠陥を受けて、一部のウェブサイトを停止した。米国家安全保障局（United States National Security Agency）が異例の公開警告を出したことも、こうした対応を後押しした。4,5
「PHP2Shell」と名付けられたこの欠陥は、人工知能モデルの助けを借りて発見されたと、アルジャジーラ（Al Jazeera）は報じている。いずれも、コンピューターのメモリの一部に許可なくアクセスし、そのアクセスを悪用して悪意あるコードを実行するものだ。アルジャジーラによると、攻撃者はパスワードや正規のアカウントがなくても、古いPHPコードで動作するサーバーにインターネット経由で遠隔からコマンドを実行できるという。PHP Foundationは、PHPを支援する非営利団体で、水曜日の午後に最新版向けの修正版を公開した。4,5
NSAは、更新プログラムをすぐに適用できない組織に対し、システムをオフラインにするよう勧告した。同局はソーシャルメディアへの投稿で、「直ちに、システムにPHPを使用しているすべての組織は、二つの重大な脆弱性に対応する更新に備えるよう勧告される」と述べた。別の投稿では、「これらの脆弱性は、サーバーのファイルシステムやデータベースへの直接の経路となることが多い」と書いたと、BBCは報じている。4,5
ヨーロッパ各国の政府は迅速に対応した。フィンランド（Finland）は政府の公共ウェブサービスを一時停止し、ドイツ（Germany）のデジタル変革・行政近代化連邦省は、予防措置として一部のウェブサイトを停止したと発表した。フランス（France）の内務省（Ministry of the Interior）は、地方行政機関の公式サイトを無効化した。ベルギー（Belgium）、オランダ（Netherlands）、チェコ（Czech Republic）の当局も、セキュリティパッチを適用するためにサイトを停止したと述べた。オランダのNational Institute for Public Health and the Environmentはウェブサイトを停止し、オランダ議会下院（Tweede Kamer）のウェブサイトも利用できなくなった。4,5
影響は政府にとどまらなかった。Wikipedia（ウィキペディア）を運営するウィキメディア財団（Wikimedia Foundation）は、脆弱性に対応していると発表した。「安全にパッチを適用できるまで、予防措置として多数のシステムを停止しました」と同財団は述べ、水曜日には一部のユーザーがウィキペディアの一部にアクセスできなかった。エディンバラ（Edinburgh）の市議会のウェブサイトも利用できなくなり、『ドクター・フー』（Doctor Who）や『裏切り者』（The Traitors）など、BBCのいくつかの番組の公式サイトも同様だった。BBCによると、どちらもPHPとの関連は確認されておらず、BBCは両者にコメントを求めたという。アートプラットフォームのDeviantArtは、理由を示さず「メンテナンスのため一時的に停止中」と発表した。4
脆弱性は、セキュリティ企業のCalifとWizの研究者が発見した。Califは、PHP Foundationとともに、OpenAIが始めた「Patch the Planet」というプログラムに参加した。このプログラムにより、同社の先進的なAIツールを使って、ウェブ開発言語の欠陥を発見し修正できるようになった。アルジャジーラによると、CalifはOpenAIと協力して8月11日に最初の欠陥を報告し、Alphabetが所有するセキュリティ企業のWizは8月24日に二つ目の欠陥を報告した。OpenAIはブログ記事で、今回の発見は「近年で最も影響の大きいセキュリティ問題の一つ」だと述べた。BBCは、OpenAIの社内研究者も他の企業とほぼ同時期に同じ問題を発見していたと報じた。4,5
Wizは、この欠陥はAIによって発見された「これまでで最も深刻な脆弱性」だと述べ、自社のブログ記事でAIツールが果たした役割を説明した。「フロンティアモデルがこのプロセスを実用的にする上で極めて重要で、数時間で複数のアプリケーションにわたって動作する攻撃コードを開発・適応できました」と同社は述べた。また、この発見は「PHPで発見された最も深刻な脆弱性の一つであり、ソフトウェアの歴史においても間違いなく最も深刻なものの一つ」だとも述べた。BBCによると、これらの欠陥は10年以上見過ごされていた。一方、アルジャジーラは、根本的な弱点は数十年前から存在していたと報じた。4,5
問題の影響範囲の推計は、報道によって異なった。BBCは、Wizがインターネットの「約70%」が影響を受けると推定したと報じたが、BBCはこの数字を検証できなかったとした。アルジャジーラは、PHPがウェブサイトの70%以上で使われていると述べた。どちらの報道も、脆弱なバージョンのソフトウェアを実行しているサイトの数について、独立した集計結果は示していない。4,5
欠陥の詳細は火曜日にソーシャルメディア上で漏えいし、PHP Foundationは脆弱性とその規模の発表を急ぐことになったとBBCは報じた。同財団は、今月後半に完全な修正版とともに発見内容を公表する予定だった。すべてのバージョンが影響を受けるわけではない。欧州連合（European Union）のコンピューター緊急対応チームであるCERT-EUは、この欠陥は2004年に公開されたPHP 5を含め、それ以前のすべてのバージョンに影響する可能性があると述べた。PHP Foundationは最新版にのみ修正版を配布しており、PHP 8.1以前を使用している人々にはアップグレードが求められている。4
セキュリティ研究者は、リスクについてより広い観点から説明した。インターネットインフラ企業Cloudflareの最高技術責任者であるDane Knechtは、「初期の攻撃が出現しているのを確認しており、新たな攻撃経路が現れるたびに対策を更新している」と述べた。CERT-EUは、脆弱性に与えられたリスク評価は「認証なしでの遠隔コード実行の可能性を示している」と述べた。Sophos Counter Threat UnitのDon Smithは、BBCに対し、PHPは「ハッカーにとって優先的な標的となる可能性が高い」と述べ、当面の課題はPHPが稼働しているすべてのインスタンスを特定することだと付け加えた。「PHPの利用は広範囲に及び、公開ウェブサイト、コンテンツ管理システム、ホスティングプラットフォーム、サードパーティ製品の下で動作することもあり、利用している組織自身にも明白でない場合がある」と同氏は述べた。4
ホワイトハウスは、連邦政府機関が修正版の開発を加速するため、主要なAIラボと協力していると述べた。日本の高市早苗首相（Sanae Takaichi）は、国民に対し、公開しているウェブサイトがPHPで稼働していないか確認するよう呼びかけた。英国のNational Cyber Security Centreは、EUやオーストラリア（Australia）の同等機関とともに、PHPを使用している人々に修正の適用を求めた。「すぐに対応できない場合、組織は完全に緩和されるまでシステムをオフラインにすることを検討すべきだ」と同センターは通知で述べた。4,5
PHP Foundationは、AIツールによってこうした弱点が見つけやすくなると述べ、オンラインサービスへの大きな混乱を避けるため、技術企業に協調した対応を取るよう求めた。同財団は声明で、「ツールは防御側にも攻撃側にもこれまで以上に速くバグを見つけるようになり、報告の件数は増え続けるだろう」と述べた。5
