2つの深刻なインターネットセキュリティ問題が浮上し、サイト管理者を緊張させています。1つ目は、VPNやIoTデバイスに影響を与える可能性のある非常に弱い暗号化を持つTLS証明書に関するものです。もう1つは、WordPressやDrupalのようなCMSシステムに影響を与える深刻なPHPプログラミング言語の脆弱性です。セキュリティ専門家らは、これらの問題が大規模攻撃を引き起こし、巨大なクリーンアップ作業を必要とする可能性を警告しています。
PHP財団は、深刻度スケールで10点中9.2点の評価を受けた2つの重要な脆弱性に対するセキュリティパッチをリリースしました。レポートによると、PHP2ShellというツールのビデオがWebサーバー上でコードを実行しているのが確認されており、WordPress、MediaWiki、Symphony、Drupalの最新バージョンやその他のPHPベースのサイトが含まれています。セキュリティ会社Towrは、この脆弱性がPHP 5（2004年）以降のすべてのバージョンに影響を与えると主張し、潜在的に攻撃者がサーバー上で独自のコードを実行できる可能性があると指摘しています。
インドに拠点を置くe Mudhraは、その中間CA証明書の8つが侵害されたと報告しました。秘密鍵は非常に弱く、通常の384ビットではなく、3ビットから8ビットの範囲で、潜在的に攻撃者がWebサイトやアプリの認証情報を偽造できる可能性があります。Mozilla、Google、Appleは侵害された証明書をブロックしましたが、macOSユーティリティが引き続きそれらを信頼する可能性があります。e Mudhraは証明書を取り消し、それらを生成するために使用されたスクリプトを非難しました。
現在最大のリスクはVPNであり、特に政府がトラフィックを傍受しようとする場所やIoTデバイスです。Filippo Valsordaは、これがHeartbleedを超える大規模なクリーンアップ作業になると警告しました。ウェブ管理者は、これらの問題を修正するために急いでいますが、一部のPHPベースのウェブサイトが一時的にダウンする可能性があります。
出典: Engadget · 要約：HeadlinesBriefing