PHP財団が「構造的失敗」により重大なセキュリティ修正が遅れたと認める

PHP財団は、意思決定の遅れと人的資源不足により、2024年に初めて発見された重大なセキュリティ脆弱性の修正が遅れたと認め、「停滞した対応は構造的失敗だった」と述べた。

世界中の政府機関などは、PHPが緊急パッチを公開する際の予防措置として、水曜日にウェブサイトを一時停止した。この2つの関連する重大な脆弱性により、攻撃者はログインせずにサーバー上でコードを実行可能になる。

PHPは、ウェブサイトやWebアプリケーション（CMSを含む）を動かすために広く使われるプログラミング言語である。

パッチ公開後のブログ投稿で、財団は開発者が2024年に既に脆弱性の兆候を発見していたが、PHPを用いた多数のソフトウェアへの影響を最小限に抑えつつ解決策を見出すのが困難だったと説明した。

「リモートコード実行の明確な経路が不明だったこと、およびエンジンに関する深層知識を持つコア開発者が少数で多様な責務を負っていたことが重なり、修正作業は数カ月間にわたり何度も停滞・再開を繰り返した」と財団は述べた。

「我々は現実を否認しない。この遅延は、セキュリティチームの意思決定プロセスと人的資源不足という両方の要因による構造的失敗だった。」

セキュリティ企業CalifとOpenAIが、独立して同一の根本的問題を報告し、Califが無条件のリモートコード実行を実証した8月11日、財団は再びこの脆弱性を指摘された。これにより、最優先のセキュリティ課題となった。

PHPのセキュリティ懸念でウェブサイトが相次いで停止

緊急パッチの適用準備のため、開発者らが世界中でウェブサイトを切断したことで、混乱は広範に及んだ。

オランダはデジタル身分証明サービスを停止し、同国の国家サイバーセキュリティセンター（NCSC）も公式ウェブサイトを一時的に停止した。

フィンランドの国営ITプロバイダーValtoriは公共の政府ウェブサービスを切断し、フランス内務省は県庁ウェブサイトを一時停止した。ロイターによると、ドイツ連邦IT局（ITZBund）も複数のウェブサイトを無効化した。

オーストラリアでは、オーストラリア信号局（ASD）が、サイバーセキュリティ情報サイト「cyber.gov.au」も本件PHP問題の影響を受けた政府サイトの一つであると認めた。

日本・高市早苗首相はX（旧Twitter）で、ウェブサイト運営者に対し、パッチを可能な限り速やかに適用するよう呼びかけた。投稿では、即座に適用できない場合、一時的に機能を停止することでリスクを軽減できると述べた。

ウィキメディア財団（Wikipedia運営）は、ツールフォージやクラウドVPSなど、ボランティア開発者が利用するツール・プロジェクトをホストする補助サービスを予防措置として一時停止し、水曜日にWikipediaの一部が利用不能になった。

ブロックチェーンセキュリティ企業SlowMistのMistEyeサービスは、暗号資産業界におけるPHP使用状況を調査し、取引所・DeFiプラットフォーム・ウォレット提供者に対し、暴露状況の確認とアップグレードを促した。評価対象1,488ドメイン中、直接PHPの指紋を検出したドメインは793件だった。

カルダノブロックチェーンの開発・ガバナンスを支援する会員組織Intersectは、潜在的な暴露を評価する間、会員専用ページを一時停止した。執筆時点でもこのページは依然として停止中である。

コインベースの最高セキュリティ責任者ジェフ・ルングローファー氏は、同社が暴露されたPHPインスタンスの証拠を一切発見しなかったと述べた。

『このような脆弱性について耳にした際には、常に全範囲のスキャンを自動実行し、可能な限り安全を確保しています。また、第三者サプライヤーとも連携して追加の保証を得ています。』

デジタル資産インフラ企業ビットゴーも、当該PHP脆弱性による自社プラットフォームへの影響はないと表明した。

一方、バイナンス共同創業者のチャンペン・チャオ氏は水曜日、一部のウェブ管理者がセキュリティパッチの適用を怠っている可能性があるため、今後数日間はあらゆるウェブサイトへのアクセスに「特に注意」するようインターネット利用者に警告した。

OpenAIは、ウェブサイト運営者が脆弱なPHPバージョンを検出し、適用可能な更新を特定できるCodexスキルを公開した。GitHubから利用可能。

PHPセキュリティチームは、公表時点において機能する悪用事例を特定していないと発表した。

雑誌：ビットコイン保管のためのレジャー以外の5つの選択肢