主要なウェブ技術であるPHPに深刻な脆弱性が見つかり、各組織はウェブサイトの修正を急ぐことを迫られています。この欠陥はCVSSv4.0の重大度スケールで9.2と評価されています。ロイターによると、PHPの開発者は水曜日に修正版を公開する予定で、ユーザーに「リリースが利用可能になり次第、すぐにアップグレードする」よう強く求めています。
問題は深刻で、EUのサイバーセキュリティ当局は、修正を適用できない企業に対し、PHPを使用しているウェブサイトを一時的にオフラインにする準備をするよう警告しています。EUのコンピュータ緊急対応チーム（CERT-EU）は、このリスクを認証不要のリモートコード実行と説明しています。つまり、攻撃者がコードを挿入し、脆弱なサーバー上で実行できる可能性があるということです。オーストラリアのサイバーセキュリティセンター（ACSC）も同様のガイダンスを発表し、組織にPHPサーバーの特定、修正の適用、不審な活動の監視を求めています。ACSCは実際に悪用された事例は把握していないとしましたが、Cloudflareの最高技術責任者であるDane Knechtは攻撃が出現しつつあると述べています。Cloudflareは暫定措置として、ファイアウォールのルールを更新しました。
PHPは「PHP: Hypertext Preprocessor」または「Personal Home Page」の略称で、ウェブサイト開発に用いられるスクリプト言語であり、数十年にわたって使われてきました。Drupal、Joomla、Magento、WordPressなどのプラットフォームが大きく依存しており、PHPはウェブを支える多くのシステムを動かしています。
このリスクはAIによってさらに深刻化しています。AIは、ハッカーが悪用しうる脆弱性を発見するために使われる可能性があります。エンドユーザーにできることは、個人で運用するPHPウェブサーバーに修正を適用することくらいで、ブラウザやアプリケーションは修正を必要としません。ウェブ利用者にできるのは、修正が効果を発揮し、サービスの停止が短時間で済むことを願うことだけです。
出典: AppleInsider · 要約：HeadlinesBriefing