PHPの欠陥、なぜサイト停止が相次いだのか　情報の先行流出で迫られた緊急対応

世界中のウェブサイトで広く使われるプログラミング言語「PHP」に重大な安全上の欠陥が見つかり、各社は21日夜以降、対応に追われた。ネット上が「緊急メンテナンス」祭り状態となっているが、いったい何が起こっているのか。

そもそもPHPとは、ウェブサイトの裏側で働くプログラミング言語のこと。画面を表示するだけでなく、利用者からの入力を受け取り、必要な情報を取り出すような処理に使われる。

「ふるさとチョイス」も個人情報漏えい…「寄附控除試算額」の流出の危険性とは

今回見つかった2件の「ぜい弱性」、つまり安全上の欠陥は、条件がそろうと、ログインしていない外部の攻撃者に不正な命令を実行されるおそれがあるものだった。通常、こうした欠陥が発見されれば、開発者や配布会社などが一定期間情報を非公開にして、修正版を準備する。

ところが今回は、修正準備が整う前に欠陥の情報が何者かによってネット上に流出。さらに、この欠陥自体を発見したセキュリティー企業が誤って攻撃の検証動画を一時公開してしまった。つまり、流出した欠陥の情報に加え、その検証動画を見れば、攻撃者側がこの欠陥を突いて攻撃できてしまうという事態になってしまったのだ。

また、その時点ですべての利用者が更新できる準備は整っていなかったため、すぐに更新できない場合にはサイトを一時停止するよう勧告が出されたというわけだ。

分かりやすく例えると、多くの店で使われている自動ドアに、営業時間外でも特定の操作で開いてしまう欠陥が見つかったとする。本来はメーカーが修理の準備を整えてから各店に知らせるところだが、先に不正な開け方の手掛かりが広まってしまった。つまり、修理の準備が整っていても、各店舗が修理を行っている間に不正にドアが開けられてしまうおそれがあるため、すぐに直せない店は、修理が済むまで営業を止めざるをえなかった、ということである。

ぜい弱性自体はこれまでも見つかっており、今後も見つかる可能性は非常に高い。そのため、サービス側の対応は必須なのだが、今回の騒動の一番の問題点は、ぜい弱性の具体的な箇所や問題点が事前に流出してしまったということ。つまり、ほぼ「事故」といってもいい重大なトラブルといえる。

大切なことは、本来出てはいけない情報がもし先に出てしまった場合、すぐに更新やサービスの一時停止などといった迅速な対応を短時間で判断できる体制づくりだろう。