PHPの脆弱性騒動はインターネット基盤のもろさを露呈するか、TechCrunchのEquityが議論

今週、オープンソースのプログラミング言語PHPで見つかった脆弱性を受け、サイト所有者は直ちにパッチを当てるか、できなければサイトを停止するよう求められた。Equityの出演者であるKirsten Korosec、Sean O'Kane、Anthony Haは、この騒動が今後も繰り返されるのかを議論した。なお、記事内の訂正によると、脆弱性を見つけたのはOpenAIとWizのHack the Planetに参加した人間の研究者で、AIはバグの悪用に使われたとされる。

Anthonyは、この脆弱性が数十年前から存在していたと理解していると述べた。大規模言語モデル（LLM）で見つけられるなら他者にも見つけられるため、パッチを出すには公表するしかなく、それが切迫した状況を生んだという見方である。Kirstenは、PHPがWordPressやDrupalなどのCMSの中核で、約70%のウェブサイト、数千万サイトに関わると指摘し、規模の大きさを懸念した。

Seanは、脆弱性の開示の進め方に不満を持つ人が多いと話した。OpenAIの投稿に自賛的な面があったこと、禁輸措置より先に情報が漏れてハッカーの間で競争が起きたことを挙げた。Cloudflare CEOのMatthew Princeは、PHP2Shellに対する試行が数百万件に達していると投稿したという。基盤部分の問題では、関係者に個別に知らせることが難しいとも語った。

Kirstenは、Amazonのブログ投稿にも触れた。Amazonはハニーポットのネットワークで、公表前から悪用の試みを確認していた。一方で、同等の体制を持たないサイトや政府系サイトも多いと懸念する。さらに404 Mediaが挙げたリンク切れの問題に触れ、パッチを当てずに閉鎖されるサイトが増えれば、歴史的な情報が失われかねないと述べた。最後に、新しいスタートアップの登場や、Nvidiaなどが提供するオープンソースツールによるセキュリティ層の可能性にも言及した。