推定70%のウェブサイトを動かすプログラミング言語PHPの2つの重大な脆弱性が、研究者がパスワードなしで攻撃者にサーバーの制御を渡す可能性を示したことを受け、今週世界的なパッチ適用の混乱を引き起こした。
脆弱性はOpenAIのモデルを使い、セキュリティ企業WizとCalifと協力して発見された。グループはこの脆弱性群を「PHP2Shell」と名付けた。一方の脆弱性は14年間にわたり言語内に存在していた。
脆弱性が可能にするもの
攻撃者は認証なしで影響を受けるウェブサーバーを乗っ取り、パスワードやセッションデータを含む可能性のあるメモリを読み取ることができた。PHPはWordPress、Drupal、そして多数のカスタムサイトの基盤であるため、影響はテクノロジー企業だけでなく病院、小売業者、政府ポータルにも及ぶ。
Wizは深刻度を、ウェブの大部分でデータを露出させた2014年の暗号化の脆弱性「Heartbleed」に例えた。研究者は、この脆弱性は人間のアナリストが悪用できる限界に位置するほど難しい一方、攻撃手順を自律的に実行できるAIエージェントには容易だと述べた。
組織に行動を促した機関
米国家安全保障局（NSA）と欧州連合（EU）のサイバーセキュリティ機関は即時のパッチ適用を勧告した。両機関は迅速に更新できないシステムはオフラインにすべきだと述べた。一部の欧州政府サイトは実際にそうし、公共サービスの一部が1日停止した。
クラウドフレアの最高技術責任者デイン・クネヒト氏は、パッチが公開される前に初期の攻撃試行を確認したと述べた。OpenAIは管理者がインストール環境の露出を確認できるツールを公開した。
情報開示が急がれた理由
詳細が今週オンラインで漏えいし、PHPのメンテナーは予定より早く勧告と更新を公開せざるを得なかった。これにより警告と悪用の間の時間が短縮され、防御側が最も頼りにする猶予が縮まった。
この出来事は両面を持つ。AIは人間の長年のレビューが見逃したバグを発見し、同じ能力が攻撃者のエクスプロイト作成を速める助けにもなる。セキュリティチームは今、パッチを当てるか切断するかという単純な試練に直面している。