PHPに重大な脆弱性2件、緊急パッチ公開で各国機関が即時更新を呼びかけ

PHP Foundationが水曜日に公開した勧告によると、2件の脆弱性はウェブリクエストを処理するすべてのPHPインストールに影響し、2004年7月公開のPHP 5まで遡る。サポート対象でパッチを受け取れるのはPHP 8.2以降だけで、一部のディストリビューションやサードパーティベンダーは旧バージョン向けの修正を提供している。専門家は、ファイルアップロードのインターフェースにある欠陥で、細工したアップロードを1回送るだけで攻撃が成立すると説明している。Wizによれば、認証なしの攻撃者がサーバー上でコードを実行したり、パスワードやAPIキー、証明書などを含み得るプロセスメモリを読み取ったりできる可能性がある。

発見にはAIが関わっている。Wizは研究者が一部でAIツールを使って見つけたとし、OpenAIとセキュリティ企業Calibも独自に発見して協力したと述べている。Wizは攻撃デモをphp2shellと名付け、場合によっては比較的容易に悪用できるとしている。独立系セキュリティコンサルタントのLukasz Olejnikは、AIにより悪用が1分程度で可能になり得ると述べ、最悪の場合はインターネットの広範囲に及ぶワーム型マルウェアになり得ると警告している。

10月20日にPHP Foundationが事前告知を出し、詳細を伏せたまま修正版のリリースを予告していた。Cloudflareは詳細公開前から初期の攻撃を確認したと報告し、Sansecは公開から15分以内に大規模攻撃が始まると予想していた。事前の予防措置として、フィンランド政府の複数のサイト、フランス政府のサイト、ロッテルダム港のサイトが一時オフラインになったと報じられている。

各国機関も対応を促している。英国のNCSCはPHPを使うシステムの洗い出しと、インターネットに接続されたシステムの監視、更新の適用を求め、即時対応が難しい場合はオフラインも検討するよう助言した。FBIのBrett Leatherman氏は、侵害の兆候があればシステムを隔離してログを保全し、最寄りのFBI支局に報告するよう呼びかけている。