PHPの10月21日のセキュリティリリースは、認証されていない攻撃者が脆弱なサーバーを掌握する恐れのある一連の脆弱性「PHP2Shell」に対する唯一の修正手段です。パッチは、サーバーの所有者がインストールしてPHPを再起動した後にのみ、サーバーを保護します。

CloudflareのCEO Matthew Prince氏は、同社のネットワーク全体での攻撃の試みが数千件から数百万件へと増加したと述べました。ドイツの連邦サイバーセキュリティ庁(BSI)と日本政府は、侵害の成功は確認されていないと述べました。PHP自体の開発資金を提供するPHP Foundationは、2024年に脆弱性の兆候を初めて特定し、解決の遅れを「構造的失敗」と表現しました。

これらの動きは、PHPの2件の脆弱性が政府や組織にウェブサイトのオフライン化を促した翌日に明らかになったものです。インターネット利用者にとっての喫緊の疑問は、通常どおり閲覧して安全かどうかです。短く答えれば、インターネットそのものは壊れておらず、ほとんどのユーザーは自分のスマートフォンやコンピュータではなく、訪問するウェブサイトを通じてリスクに直面します。ただし、依然としてパッチ適用が必要なサーバーは多くあります。

オープンソースのサーバーサイド言語であるPHPは、サーバーサイド言語が判明しているウェブサイトの約70%で背後で使われています。その普及度ゆえに、PHP自体の脆弱性は単一企業の問題ではなく、ウェブ全体のパッチ適用イベントとなります。通称PHP2Shellと呼ばれる2件の脆弱性により、攻撃者はログインなしで脆弱なサーバーを掌握できる可能性があります。

PHP2Shellは修正されたのか?

リリースノートによると、PHPは10月21日にバージョン8.5.12、8.4.27、8.3.36、8.2.35をリリースしました。リリースでは「完全な緩和策はなく、アップデートが唯一の安全な選択肢である」と述べられています。10月22日時点で、PHPは追加パッチを発表していません。

パッチが入手可能であっても、すべての影響を受けたウェブサイト保護されているわけではありません。PHPは自動アップデートしないため、ホスティング企業、IT部門、個人のサイト運営者は各自のサーバーに該当リリースをインストールし、ソフトウェアを再起動して変更を有効にする必要があります。実際には、保護はリリース時点ではなくサーバー保守のペースで広がるため、どれだけのサーバーが露出し続けるかは運営者が展開を完了する速さ次第です。

PHP 8.1以前は公式リリースの対象外となっており、古いサーバーが特に弱点となっています。PHPのセキュリティチームは、ソフトウェアを自らコンパイルするユーザー向けに、バージョン7.4、8.0、8.1の簡易パッチを公開しました。

サーバーは侵害されたのか?

攻撃者は脆弱なシステムの探索を迅速に開始しました。Prince氏によれば、Cloudflareは公開発表前の10時間で数千件、その後の45分間で数万件、2時間以内で数十万件、その後は数百万件の攻撃の試みを観測しました。

https://x.com/eastdakota/status/2113079352682570051?ref_src=twsrc%5Etfw

Amazonは、脆弱性が公開される4日前の10月17日に、ハニーポットサーバーが攻撃の試みを記録したと述べました。AmazonのCISO CJ Moses氏は「公開前に攻撃者がどのようにエクスプロイト情報を入手したかは不明のままだ」と記し、PHP2Shellは「現在、実際に広範囲で悪用されている」と述べました。

セキュリティブログ記事でAmazonは、この活動が公開前に観測されていたと述べました。

一方、政府からは時点までに確定した侵入成功の報告はありませんでした。ドイツの連邦サイバーセキュリティ庁BSIの副総裁Thomas Caspers氏は、攻撃は観測したが脆弱性の悪用成功は確認されていないと述べ、次のように付け加えました。「悪用は予想より少し複雑なようだ」。日本の木原官房長官も、脆弱性を悪用した攻撃は確認されていないと述べました。

攻撃の試みと侵害の成功は別の出来事です。確定した侵入がまだ確認されていなくても数百万件の試みが発生しうる一方、成功した侵入はリアルタイムではなく事後的に発見されることがあります。この件を追っている読者にとって、確定した侵害に関する情報(あれば)はリアルタイムの発表ではなく、後の調査や公式開示を通じてもたらされることを意味します。

なぜ問題はより早く修正されなかったのか?

PHP Foundationは、2024年のセキュリティ作業で「CVE-2026-109618の背後にあるOOM問題の最初の兆候を発見した」と述べており、これは2件の脆弱性の中心にあるメモリ不足バグを指します。

Foundationのセキュリティリリースに関する説明によると、チームは「複数の競合するアプローチ」を開発したものの、「選択に苦慮し、誤った選択を出すことの影響を恐れた」とい。Foundationは、その資金提供があったからこそ複数の人がこの問題にフルタイムで取り組めたと述べました。

Foundationは「私たちはごまかさない。この遅れは、セキュリティチームの意思決定プロセスとリソース不足の両方に起因する構造的失敗だった」と記しました。同チームは以前は合意形成を必要としていたが、今後は多数決で決定すると述べています。

またFoundationは、ウェブの大部分を支えるソフトウェアのセキュリティ作業が「依然として、Foundationの資金で支えられた少人数の開発者と少しのボランティアの助けに依存している」と述べました。

なぜ一部のウェブサイトはオフラインになったのか?

パッチ適用には時間がかかり、直ちに修正を適用できない組織にはシステムをオフラインにすることが助言されました。英国の国家サイバーセキュリティセンター(NCSC)は、ガイダンスの中で、「完全に緩和されるまでシステムをオフラインにすること」を検討するよう組織に促しました。

TechRadarによると、10月21日に影響を受けたウェブサイトやサービスには、Wikimediaの各サービス、数十カ国のOrangeのサイトとアプリ、32の英国政府サービス、オランダの病院、ドイツの連邦IT提供組織ITZBundが含まれていました。

英国の予算責任局(OBR)とエディンバラ市議会のウェブサイトは10月22日までに復旧しました。オランダの匿名犯罪通報サイトMeld Misdaad Anoniemを含む他のサービスは、DutchNewsによると木曜日の朝もオフラインのままでした。

ユーザーはパスワードを変更すべきか?

PHP2Shellだけが理由なら、少なくとも現時点で入手可能な情報に基づけば、その必要はありません。脆弱性と結び付いた確定したデータ侵害の報告はなく、サーバーが未パッチのウェブサイトでは、すべてのパスワードを変更しても保護にはつながりません。

標準的なセキュリティ対策は依然として有効です。アカウントごとに一意のパスワードを使い、二要素認証を有効にし、今後数週間に企業から侵害の可能性に関する通知が届いた場合は注意を払いましょう。企業が侵害を確認した場合は、該当するパスワードと使い回している他のパスワードを変更すべきです。

ウェブサイト運営者には追加の作業があります。パッチ適用は脆弱性を塞ぐものの、それ以前に攻撃者がサーバーにアクセスしたかどうかは示さないためです。セキュリティ企業Tag1は、自分がアップロードしていないPHPファイル、新たなスケジュールタスク、新規作成されたアカウントを確認し、脆弱なバージョンを実行していた外部公開サーバーではデータベースのパスワードとAPIキーをローテーションすることを推奨しています。Tag1のガイダンスはこちらで入手できます。

PHP2Shellは暗号資産ユーザーに何を意味するのか?

Binanceの創業者Changpeng Zhao氏はXで次の警告を発しました。「と言われるかもしれないが、今後数日はどのウェブサイトを訪問する際にも細心の注意を払ってほしい」。

https://x.com/cz_binance/status/2113029289155178716

侵害されたウェブサーバーは、正規のウェブサイトの偽バージョンを表示する可能性があります。暗号資産分野では、そのようなページがウォレットの接続と、資金を空にするトランザクションの承認を求めてくる恐れがあります。ブロックチェーンネットワーク自体は影響を受けなくても、アクセス手段となるウェブサイトが侵害されている可能性はあります。

ユーザーは署名する内容を慎重に確認し、リンクをクリックする代わりに利用するサイトをブックマークし、ハードウェアウォレットを持っていればそれを使うべきです。10月22日時点で、PHP2Shellに関連する侵害を公表した暗号資産取引所はありません。

閲覧は安全なのか?

ウェブ閲覧は概ね前週と同程度の安全性ですが、インターネット上の活動にリスクがないわけではありません。主な露出は未パッチのサーバー側にあります。セキュリティ企業Malloryによると、公式修正が提供されないPHPバージョンを実行している外部公開ホストは約88万4,000に上ります。

Amazonは防御者に対し、公開日が悪用の最も早い日付だと想定しないよう求めています。「防御者は、公開日が悪用の最も早い日付だと想定してはならない」。少なくとも10月17日以降、脆弱なPHPバージョンを実行していたサーバーは、単にパッチを適用するだけでなく調査されるべきです。

原文ソース:Decrypt