バグバウンティプラットフォームImmunefiのCEOミッチェル・アマドール氏によると、インターネット利用者はPHP脆弱性を悪用したサイバー攻撃のリスクに依然さらされている。特に、先週水曜日にリリースされたアップグレードの導入に数週間を要する可能性のある小規模サイトが懸念される。

アマドール氏はCointelegraphに対し、脆弱性の発見が低コストになる一方で修正は依然として高コストである、「これは予定通り進行している『脆弱性アポカリプス』だ」と述べた。

「今後数週間は、ログインするあらゆるサイトを、すでに侵害されている可能性があるものとして扱ってほしい」とアマドール氏は述べ、パスワードの使い回しを避けること、暗号資産ウォレットをウェブサイトに接続する際に注意することを利用者に呼びかけた。また、認識していないトークン承認——明示的に取り消されるまで接続済みウォレットからサードパーティのコントラクトが資金を引き出せる常設の許可——を取り消すよう促した。

アマドール氏の発言は、PHP Foundationがリソース不足により2024年に最初に特定された重大なセキュリティ欠陥の修正を遅らせていたことを認めた、ほぼ1週間後のものだ。PHP開発者は同日に2つの重大な脆弱性に対する緊急パッチをリリースしたが、個々のウェブサイトは独自にアップデートを導入する必要がある。PHPは各サイト独自のサーバー上で動作するため、運営者がパッチを適用するまで保護効果はない。

6月に公開されたCointelegraphのインタビューで、アマドール氏はフロンティアAIモデルの普及がサイバーセキュリティの状況を攻撃者に有利なものへと変えたと述べ、その変化を「脆弱性アポカリプス」および分散型金融(DeFi)ハッキングの再燃と結び付けた。

稼働時間ごとの重大な脆弱性が確認されたプログラムの割合。出典:Immunefi。

Immunefiは世界最大のバグバウンティプラットフォームを自称している。公式サイトによると、これまでに650のプロトコルに対し1億4000万ドルの賞金を支払っている。

PHP脆弱性、数時間で数百万件の悪用試み

Cloudflareのマシュー・プリンスCEOは、PHP脆弱性が公開されてから24時間以内に数百万件の悪用試みが記録され、公開前にも数千件の試みがあったと述べた。この主張は木曜日のXへの投稿で行われた。

世界のウェブサイトの約5分の1はCloudflare経由でトラフィックをルーティングしていると、同社は説明する。同社はウェブサイトの表示速度向上とサイバー脅威からの利用者保護を支援するインターネットインフラ企業だ。

調査サービスW3Techsの推計では、サーバーサイドプログラミング言語が判明しているウェブサイトの約69%がPHPを使用している。この脆弱性により、攻撃者はマルウェアを拡散したり、世界中のウェブサイトに悪意あるスクリプトを注入したりする可能性がある。

FBIサイバー部門も、この脆弱性により悪意ある行為者が「PHPコア内でリモートからコードを実行し、機密データやネットワークが侵害される恐れがある」と警告した。水曜日のXへの投稿による。リモートコード実行は、悪用に成功すると攻撃者が対象サーバーを直接制御できるため、最も深刻な種類のウェブ脆弱性の一つとされている。