PHPの重大な脆弱性2件、各サイトが緊急メンテナンスに入った理由と利用者への助言
日テレNEWS
企業などのウェブサイトが一斉に「緊急メンテナンス」に入った。この状況について、日本テレビ『news zero』はサイバーセキュリティ専門企業・日本プルーフポイントの増田幸美氏（字幕表記による）に話を聞いた。増田氏は、ウェブサイトの裏側で広く使われているPHPに重大な脆弱性が2件見つかったことが原因だと説明する。修正プログラムを適用するまでサイトを止める判断を支持し、利用者に対しては、今夜はネットの利用を控えることも選択肢だと呼びかけた。
なぜ一斉に緊急メンテナンスなのか
増田氏によると、PHPはウェブサイトの裏側で使われているプログラミング言語である。今回、このPHPに重大な脆弱性が2つ見つかった。修正のための新しいプログラムは夜11時に出るとされ、それを適用するまでの間は攻撃を受ける可能性が高い。そのため、多くの企業が緊急メンテナンスに入っていると増田氏は説明した。
一方で、メンテナンスに入っていない企業もあると増田氏は考えている。脆弱性に気づいていないところや人手が足りないところは、メンテナンスの必要性を感じていないかもしれないという。
脆弱性の危険度
脆弱性の危険度について、増田氏は「遠隔から攻撃者がいろいろな操作をできてしまうもの」と表現した。PHPはウェブサイトの裏側で動き、その後ろには多くの場合データベースがある。脆弱性を突かれると、データベースへの問い合わせや、ウェブサイトへの不正なプログラムの設置ができるようになる。被害が大きい場合には、データを壊したり改ざんしたりすることも可能になりうると増田氏は述べた。
影響の広さ
影響範囲について、増田氏はPHPが「本当に多くのウェブサイトで使われている」と強調した。ショッピングサイト、ニュースサイト、ブログ、企業のホームページなどの裏側で動いているのがPHPであり、多くのサイトに影響すると考えてほしいという。
キャスターは、ネットショッピングや予約のサーバーが国内でかなりダウンしている状況が想像できるかと尋ねた。増田氏はこれを肯定した。パッチを適用して脆弱性のない状態に移るまで、予防措置として率先してサイトを止めている企業もあるといい、増田氏はその対応を「非常に素晴らしい」と評価した。
復旧にかかる時間
メンテナンスにかかる時間は「システムによる」と増田氏は答えた。作業はまずパッチをダウンロードするところから始まるが、回線が混み合っている可能性がある。適用後には、システムが元通りに動くかどうかの確認も必要になる。早いところならすぐに終わるかもしれないが、最低でも今夜一晩はかかると考えてほしいという。
パッチは「配られる」のではなく「取りに行く」もの
キャスターが「11時からパッチが配られている」という前提で質問すると、増田氏はこれを訂正した。パッチは配られるものではなく、自分で取りに行かなければならない。まず自社のサーバーでPHPが使われているかどうかを把握し、使われていればパッチを取得して適用する。適用しない限りは穴が開いているのと同じで、攻撃者が入り込んで好きなことができる余地を与えてしまうと増田氏は説明した。
パッチ公開後こそ危険が高まる
パッチを適用しない企業は11時以降に攻撃を受ける可能性が高いのかという問いに、増田氏は「非常に高い」と答えた。パッチは、どんな攻撃に使われうるか、どんな内容の脆弱性かという情報とともに公開される。攻撃者はその情報をもとに、脆弱性を悪用するための手段を次々に作ることができる。そのため、パッチが出た後は攻撃者にとって非常に利用しやすい状況になると増田氏は指摘した。
視聴者へのメッセージ
増田氏は視聴者に向けて、予防措置としてやむを得ずサイトを止めているところが多いと伝えた。不便を感じることはあるかもしれないが、利用者の情報を守るための対策だと理解して温かく見守ってほしいという。あわせて、夜間に作業している多くのエンジニアが安全に仕事を終えられることを祈っていると述べた。
個人ユーザーができること
個人ユーザーにできることについて、増田氏はサイトの管理者側がPHPを使っていることに気づいていない可能性を挙げた。そのため、今夜はネット検索などふだんのネットサーフィンをやめておくのもよいかもしれないという。簡単な調べものも控えたほうがよいのかと確認されると、増田氏は自身も家で子どもたちにそう指示したと話した。
いつから利用を再開してよいかについては、影響範囲が大きすぎるため一概には言えないとした。大手のサイトであればおそらく今晩中に対応されるが、小規模なところは対応が遅れるかもしれないと増田氏は見ている。大手サイトで問題なく操作できればパッチが適用済みと考えてよいかという問いには、大手はほとんどがすでに気づいており、今まさに対応に走っているだろうと答えた。
最後に、増田氏自身もこの後忙しくなるのかと聞かれ、「ずっと忙しい」と答えてインタビューは終わった。
サイバーセキュリティの専門企業、日本プルーフポイントの増田幸美さんにお話を伺います。増田さん、どうぞよろしくお願いします。よろしくお願いいたします。
まず、なぜ一斉に各企業が緊急メンテナンスに入っているんでしょうか？
これはウェブサイトの後ろで使われているプログラミングの言語があります。PHPと呼ばれるものなんですけども、実はこれに関して重大な脆弱性が2つも見つかってるんですね。これによって、夜の11時にその修正のためのプログラム、新しいものが出るというので、それを適用するまでの間、攻撃を受ける可能性が高いというので、皆さん緊急メンテナンスに入られていると。
これ、緊急メンテナンスに入っていない企業もあるとお考えでしょうか？
そうですね。残念ながら気づいてないところとか、人手が薄いところとか、そういったところはこのメンテナンスの必要性を感じていないかもしれません。
見つかった脆弱性、2つあるということですが、どれくらい危険なものと増田さんお考えですか？
これは実は遠隔から攻撃者がそのプログラミングを使って、何でもいろいろ操作ができてしまうようなものなんですね。このPHPというのは、ウェブページ、ウェブサイトの後ろ側で動くものになるんですけども、大体その後ろにはデータベースがあったりします。こういったデータベースに対する問い合わせができたりとか、あるいはそのウェブサイトに対して不正なプログラムを設置したりとか、そういったことができるようになります。ひどい時には、おそらくそれも壊してしまうとか、改ざんするとか、そういったことも可能に。
どれぐらい影響が広がると考えてらっしゃいますか？
実はこのPHPなんですけれども、本当に多くのウェブサイトで使われています。例えばショッピングサイトですとか、あとはニュースサイト、ブログのサイトですとか、そういった企業のホームページとか、こういったところの後ろ側で動いているのがPHPになります。ですので、多くのウェブサイトに影響するというふうに考えていただければと思います。
ですから、今例えばインターネットでお買い物をするとか、何か予約をするというサーバーが、国内でかなりダウンしているということが想像できますか？
想像できます。予防的措置としてこのパッチを適用するまで、この脆弱性がない状態のものを使うようになるまで、率先して止めてらっしゃる企業様もいらっしゃいます。非常に素晴らしいことだと思います。
緊急メンテナンスということですけれども、どれぐらいの時間がかかると見ているんでしょうか？
これはシステムによりますね。まずそのパッチ、新しいプログラムをダウンロードしていただく。もしかするとちょっと回線が混み合っているかもしれません。システムがちゃんと元通り動くのかどうか、こういったものを確認するので、早いところであればすぐに終わるかもしれないんですけども、今夜一晩は最低でも時間がかかるというふうにお考えいただければと思います。
11時からそのパッチと呼ばれるものが配られているということですけれども、パッチが配られている企業には穴があるということなんでしょうか？
このパッチは配られていないんですね。自分で取りに行かないといけない。
取りに行かないといけない。
なので、まずは自分のところのサーバーにそのPHPが使われているのかどうか、これはまず知らなければいけないんですね。使はえバのにしればいいので、まずはそれを取りに行って、それを適用する。なので、これを適用しない限りは、そこに対して穴が開いてると一緒ですので、攻撃者が入ってきて、好きなことをできる余地を与えてしまうということになります。
これは緊急でパッチが配布されるということになりますが、取りに行くというお話ですけれども、その対処を行わない企業は、この11時以降、攻撃にさらされる可能性が高いということなんですか？
非常に高いです。今このパッチが出ているという状況は、どういった攻撃に使われるか、どういった内容の脆弱性であるか、こういった情報とともに出ています。この情報を攻撃者が見て、じゃあ、これを悪用するためのものをどんどん作っていくことができるんですね。ですので、こういったものが出た後というのは、非常に攻撃者が利用しやすい状況になっております。
増田さんが今の『news zero』という番組を見ている視聴者の皆さんに伝えたいこと、何かあるでしょうか？
今はやむを得ず予防的措置として止めてあるところもたくさんあります。ですので、不便を感じることはあるかもしれませんけども、これが皆さんの情報を守るための策であると、こういったところを理解していただいて、温かく見守っていただく。あと、この夜間に作業されてるエンジニアの方がたくさんいらっしゃると思います。その方たちが安全に仕事を終えられることを祈っております。
私たち個人のユーザーができることは、どんなことがあるんでしょうか？
なるほど。ユーザーの方は、もしかすると管理者の方がこのPHPを使ってるっていうことに気づいてない可能性もあります。ですので、今夜はインターネットで検索する等々の、いつもやっているようなインターネットサーフィン、これをちょっとやめていただくというのもいいかもしれません。
じゃあ、例えば調べ物をするというような簡単な検索も、今回は今夜に関してはやめておいた方がいいのではないかということですか？
私はもう家の中で子供たちにそう指示いたしました。
そうですか。そうなりますと、どれぐらいから触り始めていいのかということが皆さん心配になると思いますけれども、この点はどうでしょうか？
これがちょっと一概には言えないですね。あまりにも影響範囲が広いので、大手様のサイトであれば、おそらく今晩中には対応されるかと思います。
なるほど。ですから小さいところになると対応が遅れるかなっていうのはありますね。例えば大手の企業が対応済みで、操作をしてみた場合に問題なければ、もうそのパッチがダウンロードされているということを考えていいでしょうか？
そうですね。大手さんの場合はもう気づかれてるところがほとんどになるので、今おそらくもうこの瞬間に対応に走られているかと思います。
この間にもエンジニアの皆さんが対応されているということで、増田さんもこの後少し忙しくなりそうなんでしょうか？
そうですね。ずっと忙しいですね、もう。
そうですか。お体に気をつけて。夜分に失礼しました。ありがとうございました。ここまでサイバーセキュリティ専門家の増田幸美さんにお話を伺いました。
こ
記事公開 · 更新