TOKYO/BEIJING/AMSTERDAM — 世界中の企業と政府が木曜日、インターネットの大部分を支えるプログラミング言語PHPの重大な脆弱性への対応を急いだ。クラウド事業者各社は、脆弱性が公表された後、ハッキングの試みが急増したと報告している。

この緊急対応は、水曜日に欧州などを中心に政府機関が予防措置としてウェブサイトをオフラインにした後に始まった。サイト運営者らは、広く使われている同ソフトウェアを実行するシステムの安全確保に追われた。

東京からヘルシンキまで、銀行、航空、鉄道、税務、行政サービスが緊急停止したことは、ウェブを動かし続けるツールにとって最も劇的な試練の一つとなり、政府や企業がほとんどの人に理解されていないコードにどれほど深く依存しているかを浮き彫りにした。

「このような光景は長い間見たことがない」。マイクロソフトのサティア・ナデラCEOは木曜日、ドイツでのイベントでこう述べ、システムが複雑化する中で安全に保守できるソフトウェアを構築することの重要性を今回の事例が浮き彫りにしたと付け加えた。「ITおよびセキュリティ担当者の皆さんにとって、長い昼と長い夜だったことは分かっている」

HTMLやPythonと並ぶインターネット基盤の鍵、PHP

PHP（HTMLやPythonに並ぶコンピューティング言語）の開発者は水曜日、人工知能（AI）を用いて発見されるまで何年もソフトウェアに潜んでいた脆弱性の修正版を公開し、ユーザーに「直ちに更新する」よう呼びかけた。PHPは動的なページやアプリケーションを生成するウェブサーバー上で動作するため、中核コードの欠陥は同言語で構築されたあらゆるサイトやサービスに影響を及ぼす可能性がある。

ベルギーのサイバーセキュリティ企業Aikido Securityの共同創業者マデライン・ローレンス氏は、脆弱性の詳細が修正版の準備が整う前に公になり、それ以降攻撃が報告されていると述べた。

「企業は、AIを使って脆弱性を悪用できる攻撃者に対抗して更新を急いでいる。それがまさに競争の全容だ」と同氏は語った。

組織がパッチの適用と予防的なサイト停止を進める中、ハッキングの試みは百万件規模に急増したと、クラウドサービス大手のCloudflareとAmazonが報告した。

「公表前の10時間で、ネットワーク全体で数千件の悪用の試みを確認した」と、Cloudflareのマシュー・プリンスCEOは水曜日遅くにXへの投稿で述べた。「公表後45分で数万件に、2時間以内には数十万件に跳ね上がり、現在では数百万件に達している」

Amazonも広範な悪用を確認したと述べた。プリンス氏が説明したエスカレーションは、ローレンス氏が指摘した時間の窓を示している。つまり、情報公開からパッチ適用が完了するまでの間、脆弱なコードを依然として実行しているシステムは露出したままである。

日本からフィンランドへの影響

野村証券、三菱UFJフィナンシャル・グループ、全日本空輸（ANA）、JR東日本などの日本の大手企業は木曜日、緊急対応の一環として一部のインターネットサービスを一時停止すると発表した。

アサヒグループホールディングスは一部のウェブサイトやシステムを一時停止し、セキュリティ影響評価を実施している。東京海上ホールディングスはグループのウェブサイトを停止したと述べた。

日本では財務省と気象庁が安全対策のためオンラインサービスの一部を停止し、国税庁もサービスを一時停止した。

これらの予防的停止は、日本のサイバーセキュリティへの懸念の高まりを反映している。TrendAIのデータによると、日本で記録されたサイバーインシデントは今年最初の9か月間で、昨年1年間全体をすでに上回っている。

その他の地域では、フランスの通信大手Orangeが、傘下の複数子会社にわたるPHPベースの一部ウェブサイトとアプリケーションへのアクセスを予防措置として一時停止したと発表した。中国最大手のクラウド事業者の一つ、テンセントクラウドは顧客に更新版PHPの導入を呼びかけたものの、広範なサイト停止までは求めなかった。

フィンランドの国営ITサービス業者Valtoriは、夜を徹してPHPのセキュリティパッチの適用を続け、前日に政府の公開ウェブサービスを停止した後、予防的なサービス遮断を段階的に解除していると述べた。

「サービスの復旧には数日、場合によっては数週間かかる可能性がある。更新に加えて、システムを入念にテストする必要があるからだ」と、Valtoriのハンヌ・ヌーマネン総裁は声明で述べた。

同社は、今回の停止は脆弱性の悪用やサイバー侵入によるものではなく、脆弱性が実際に悪用されているとの認識もないと説明した。

修正まで数週間かかる場合も

複数のアジア諸国政府は木曜日、PHP脆弱性に関連するサイバーセキュリティ点検を指示した。中国の工業化情報化省は組織とユーザーに対し、システムを点検し最新のセキュリティ版PHPへアップグレードするよう呼びかけ、サイバーセキュリティ監視の強化や、必要に応じたアカウント、パスワード、鍵の変更を推奨した。

韓国は民間部門のサイバーセキュリティ警戒レベルを引き上げ、ハッキング攻撃のリスク増大への懸念から緊急対応措置を発動した。

ドイツのデジタル産業団体Bitkomのセキュリティ任者フェリックス・クーレンカンプ氏は、多くの大規模事業者はすでに更新を実施したものの、複雑なITシステムや小規模な組織では時間がかかる可能性があると述べた。

「PHPを使ったウェブサイトを運営していても、実際には十分に管理していない場合が多い」と同氏は言う。「ウェブサイトがセキュリティ更新の提供されない古いバージョンのPHPに基づいている場合、システム全体を更新しなければならない」

今後の焦点は、攻撃の試みがクラウド事業者が報告している規模で続くかどうか、そして更新とテストの完了に伴い停止中のサービスがどの程度迅速に復旧するかだ。

— Reuters

出典：BusinessWorld