PHPの重大脆弱性「PHP2シェル」は何が危険なのか──AgenticSec中谷翔CEOが語る仕組み、影響、AIによる発見

世界のウェブサイトのおよそ7割で使われるプログラミング言語の重大な脆弱性が発覚。

任意コード実行までできるやばさで、かつ先に攻撃がリークしたってことで、これはセキュリティ担当者からしたら悪夢のような事態ですね。ここのサーバーの制御を乗っ取って、ここのサーバーでできることは基本的に何でもできてしまう。

高市総理になりすまして、例えばブログの文章をアップするとか、写真を変えるとか。個人情報を登録してる場合、これきっかけでその個人情報が抜かれるってこともあり得る。

そうですね。あり得ます。

10年以上潜んでいたバグを掘り起こしたのはAI。

ソースコードから脆弱性を発見するっていうのは、どの種類のものであっても人間よりAIの方がまず早い。確実に早いのと、幅が広い。

他のプログラミング言語で知られざる脆弱性が発見されるっていうことは、可能性としてはいかがなんでしょう？

これはあり得ると思っています。修正プログラムを当てれば本当に安心できるのか？

このパッチ2つ当てたから大丈夫まで言えるかは、やや微妙な……。

例えば去年に比べて倍にした方がいいとか、そういう目安ってありますか？

それは例えば防衛予算とかと同じで。

皆さんこんばんは。緊急ライブ配信でお送りしています。テレ東BIZの緊急ライブ配信です。本日10月22日、世界中のウェブサイトを支える根本的なシステムにおいて緊急事態が進行しています。皆様が普段使っているようなウェブサイトのおよそ7割を構成するプログラミング言語であるPHPにおいて、深刻度最高レベルの重大な脆弱性が発覚しました。すでに日本国内でもメガバンクや各企業、そして行政のシステムが次々と停止だったり、一時停止をする事態となっています。

本日はこの脆弱性が私たちの生活や企業にどのような影響を与えるのか、今すぐ取るべき対策は何なのかを、サイバーセキュリティの専門家をお招きして徹底解説したいと思います。株式会社AgenticSecの中谷さんです。よろしくお願いします。

よろしくお願いします。中谷さん、緊急のご出演ありがとうございました。いえいえ、ありがとうございます。普段はAI分野での解説をお願いしてるんですけれども、本業というか、元々サイバーセキュリティが詳しいということなんです。

そうですね。AIのことが騒がれる前から結構セキュリティの技術のことを色々とやってて、セキュリティコンテストとかでもたまに上位入りとかをさせていただくんですが、そういったセキュリティコンテストでも今回のPHPの攻撃みたいなのを技術的には再現するようなことも競わされるので、割と今回の事案についてはまず技術面から興味深く見ていて、今日お話しすることになりました。

一般の人にとって、サイバーセキュリティのニュースっていうのはなかなかその深刻度を測るのが難しいんですけれども、昨日第一報が朝ぐらいですかね、流れ始めた時に、中谷さんとしてはその深刻度をどのように受け止めました？

これは深刻度が極めて高いなと思いまして、やっぱり今回の脆弱性、PHPっていうプログラミング言語でして、皆さんもしかしたらWordPressとかの方がPHPよりもご存じの方が多いかもしれませんが、WordPressってブログとかホームページを作るCMSの1つのソフトウェアなんですが、これがPHPでできてる代表のアプリケーションの1つです。PHPに脆弱性があるってことは、WordPressで配信してるウェブサイトに脆弱性があるってことなので、影響を受けるサイトっていうのはかなり大きい。

しかも昨日の朝起床した時点ではまだそんなに状況が定かじゃなかったんですが、だんだん昼ぐらいになってくると、どうやらまだ修正プログラムは来てないのに攻撃は出回ってるぞみたいなことが明らかになって、これはかなりやばいものだなというふうに私も認識しました。

なるほど。まずスライドをご用意したんですけれども、そもそもPHPというのはプログラミング言語。最近だとPythonですとか、Rとか、そういったものが色々有名だと思うんですけれども、結構老舗のプログラミング言語なんですよね。

そうですよね。30年以上前っていうのは今日私も調べて、そんなに前かと思ったんですけれども、やっぱりそのウェブでアプリケーションを作るっていうムーブメントが起き始めた頃に、一番流行ってた言語は確かにPHPだったなと私の方でも思ってます。

今、例えば工学系の学生の方がプログラミング言語を習いたいなと思ったら、Pythonが多いと思うんですけれども。圧倒的に多いですよね。このPHPっていうのはどうなんですか？ 使い勝手がいいとか、7割で使われてるっていうのはどこら辺にあるんですか？

やっぱり少なくともPythonって、私が学生だった頃なんかは、はるか昔ですけど、ない言語だったんですよ。Pythonとかが出る前とか、やっぱりPHPだったり、場合によってはJavaだとか、結構そういう古めの言語を使うことが多かった。

JavaじゃなくてPHPをやる人は何でやってたかというと、Javaなんかより覚えることが少なく書ける。割とやりたいことを正直に書けるみたいな言語がPHPで、プログラマーにとってのとっつきやすさみたいなところは、1つ普及の原因だったかと思います。

なるほど。でも本当、7割っていうのは結構そんなにあるんだ。

そうですね。7割っていうのは本当に多いなと思って、やっぱりWordPressがかなり効いてるんだろうなと思っているのと、あとWikiですかね。Wikiで作られるんですが、Wikiっていう、これまたCMSの一種みたいなもので考えていいと思うんですけど、WikiなんかもPHPで作られるものが結構普及、その辺も多分効いてるなと思ってます。

中谷さんは使うこともあるんですか？

昔はありました。大体のプログラミングは一通りやっております。

じゃあ今回、影響が出た範囲が非常に大きいということで、今、中谷さんのご説明もあったように、WordPressというホームページを作る仕組みというか、側の部分、土台みたいな部分がWordPressを使ってる企業ですとか個人、多いと思うんですけれども、それによって今こちらに出てるように、例えば銀行ですとか航空会社ですとか、ゼンショーホールディングスっていうのは飲食店ですよね。あとは政府、自治体などなど、かなりやっぱり広範囲に影響が出てるってことなんですよね。

そうですね。これ、停止したっていうのが攻撃を受けたっていうふうには受け取らない方が多分良くて、もちろん攻撃を受けた事案っていうのも少なくとも1件は私も知ってるんですけど、基本的には企業様自ら、PHPが危ないっていうから影響範囲を特定できるまでは一時的に自主的に停止するってことをやった企業様がまず多いのと、あとはいわゆるレンタルサーバーサービスとかで企業のページとかを配信してる場合は、レンタルサーバー側の企業が自社の判断でサービス停止して、レンタルサーバーを使ってた人たちのサイトがその影響で閉じられるっていうことがあったんで、攻撃を受けないようにまず止めるっていう判断で、このような停止につながった事例が多いのかと思います。

なるほど。高市総理のホームページまで一時止まって。

そうですね。あとやっぱりその.go.jpでしたっけ、そちらも止めたという発言もなさってまして、これは私、セキュリティのエンジニアとしては非常に英断だったかなと思っていて、やっぱりまずシステムを止めるっていうのは、すごくある種勇気のいる判断で、特にエンジニアとかは技術的にはもちろん止めることはできるけど、止めていいのかとかの判断っていうのは最終的には経営判断になる。

そんな中で、首相もこんなことを言ってるぞっていうのは、経営者にとっては強力な1つの考慮事実になるので、やっぱりこれを首相が発信してくれた意義は私は大きいと思ってるのと、あと日本国内のセキュリティに携わる人だけじゃなくて、海外のセキュリティに携わる人も、日本はプライムミニスターがこんなこと言ってんのかっていうふうに好意的に発信するようなこともXで見ていて、私はこれはいいツイートだったのかなと認識してます。

これ、先ほど国内の企業をお出ししたんですけれども、結構これ海外でも話題だったんですよね。さっきいただいたデータがGoogleのデータですかね。

Googleトレンドで、私がこちらに緊急出演する前に自宅で調べたんですけど、日本で確かに私もXを日本語で見てるんで、日本で話題に見えるけど本当に海外じゃ話題じゃないのかなって、一応全ての国ということで、PHP2Shellっていう今回の一連の攻撃の通称で調べたところ、話題にしている国が一番がオランダですね。次がオーストラリア。

オーストラリアか。ごめんなさい。あと中国、スイス、ベルギーです。

そういった国々で、全然日本だけってこともなく、やっぱり世界で広く皆さんこの危機を察知してるっていう様子が受け取れました。

結構広く一瞬でっていうのは、例えばAWSのシステムが止まったりするとこういうような現象あると思うんですけど、なかなかこういうサイバー攻撃でここまでっていうのはあんまり記憶ないんですよ。

そうですね。やっぱりAWSが止まるとかの影響と、サイバー攻撃のリスクの影響って全然違うわけですよね。止まるっていうのはある種止まるだけだけど、攻撃を受けたらもしかしたらデータが漏洩しちゃうかもしれない。もしかしたらウェブサイトの改ざんとかまでされるかもしれないっていうふうに、やっぱり止まるよりも一段高い影響があり得るので、こういう反応は自然なのかなと思います。

ここが問題の一番の核心なんですけれども、じゃあその脆弱性って何なのかっていうところですよね。今回レポートによると2つの脆弱性が見つかったということなんですけど、少し何か図示できないかなと思って、色々放送前に私の方でも生成AIで適当な生成をして、これがこれですね。PHP2Shell。これが2つ、上と下ってことですか？

そうですね。2つの脆弱性を合わせてPHP2Shellというふうに通称しているというふうに認識してます。

どういうものなんですか、これは。

1個ずつ見ていくと、弱点1の右にCVE-2026ほにゃほにゃほにゃほにゃって数字が書いてて、弱点2の方にも最後の1桁目だけが8か9かで違う、いわゆるCVE番号っていうのがついてます。これが国際的に通用する脆弱性のIDですよね。脆弱性はCVE何々だって言えば、あのことねって調べられる。そういうCVE番号が2つまずついてます。

このCVE、2つとも基本的にはものすごく脅威の高い攻撃につなげることができて、RCE、リモートコードエグゼキューションの略なんですけど、日本語ではよく任意コード実行とか言ったりします。

要はこれを使うと、PHPで立っているサーバーシステムに攻撃者がインターネット越しとかに悪い通信を、1回とは限らないんですけど、送るだけでここのサーバーの制御を乗っ取って、ここのサーバーでできることは基本的に何でもできてしまう。こういうふうなことができるのがこれらの脆弱性だし、RCEという脆弱性になっていて、極めて危険なものになってます。

これ、結構前からあったものが今更発見されたっていうのは何なんですか？

まずそうらしいですね。どうやら30年前から内在していた脆弱性が今回公表されたってことですけど、これ何でかっていうと、この2つとも基本的にはいわゆるメモリ管理ってところに起因するバグです。

メモリっていうのはコンピューターの中でデータを扱う、割と高速な領域ですけど、そのメモリを、プログラミングをしていると、特にC言語とか昔ながらの言語でプログラミングをしてると、メモリを取ってそこに値を書く。使い終わったらメモリを解放する、お掃除するみたいなことをよくやる。こういうメモリを取るとか解放するのをメモリ管理って大ざっぱには言うんですけど、今回メモリ管理系のバグでした。

メモリ管理系のバグって結構探すのが大変なんですよね、人間にとっては。何でかっていうと、メモリを取りますっていう部分とメモリを解放しますっていう部分が、プログラムのコード上かなり離れてる。全然別のファイルにあることすらあるし、そういうことが多いのですごくプログラムを大局的に見ないと、メモリ管理系のバグって探しづらいんですよ。

なるほど。それが昨今、やっぱりLLM、AIによって、ソースコードから脆弱性を探す能力っていうのが飛躍的に上がったことで、前提としてPHPはオープンソースなんでソースコードが手に入るんですが、そういうPHPのソースコードからメモリ管理系のバグが見つかったんじゃないかというふうに考えてます。

やはりAIを使ってこれを見つけたと考えるのが一般的に。

そうですね。今、考えると言いましたけど、実際今回の発見経緯、発見したカリフという企業も、そのようにして探したと公表してます。

これ、上と下の違いは何なんでしょう？

これは本当に難しすぎるので、これが分からなくてもあんまり気にしないでいいんですけれども、1個目のやつっていうのは、基本的にPHPのプログラムっていろんなものがあるんですけど、ウェブサーバー、WordPressみたいな、じゃあウェブサーバーだと思ってください。

攻撃者がリクエストを飛ばすんですけど、このリクエストのデータをめちゃめちゃ大きくして、1個のリクエストとしてはでかすぎるよっていうふうにこっちのPHPのサーバー側に判断させると、普通の小さいのだったらこういうプログラム処理っていうのが決まってるんですけど、でかすぎるデータが来たらエラー処理に飛ぼうっていうのがPHPの処理系内部にあって、その普通の処理をちょっとやった後、エラー処理に飛ぶっていうふうにやると、普通の処理の途中にあったメモリを、メモリを確保するか解放するかの方、どっちか忘れましたけど、そこの部分が中途半端になっちゃって、メモリが管理しきれてない、ちょっと浮いちゃったメモリ状態になる。こういうのがまず1個目なんですけど。

2個目はさらに難しいんですけど、さっき言ったようにウェブサーバーを想定してリクエストを送る。リクエストを2回送ったとします。この2回のリクエストって同じ人から来るとも限らない。1回目は私で、2回目は鵜飼さんかもしれない。なので1回1回のリクエストっていうのはすごく個別に独立に処理されてほしいんですけど、PHPの特定のウェブサーバーの実装だと、リクエストを処理する機構、ワーカーっていう機構があるんですけど、そのワーカーを共用して2つのリクエストを処理してるって箇所がありました。

片方のリクエストでさっきみたいにエラーを起こす。メモリ多すぎエラーじゃないんですけど、何かエラーを起こす。そうすると2回目のリクエストは、エラー状態のリクエストが使ってたデータを使い回せちゃう。本当は使い回せない方がいいんだけど、ワーカーの方に状態が残っちゃって使い回せちゃうっていうのがあって、どちらもメモリの変な状態を引き起こせるっていうところに帰着するんですけど、その起こし方が上と下でちょっと違うみたいな、そんな感じですね。

なるほど。今どれぐらいの方が分かったかどうかっていうのは、ちょっとあれですけど。

私も難しいと思います。

これ、もしご質問などありましたら、テレ東BIZのチャット欄にお寄せいただければと思います。なるほど。今回、いきなりこの脆弱性が見つかったわけではなく、実は8月ぐらいからその可能性があって、この辺の経緯が実はかなり特徴的なんですよね。

実は2件の脆弱性がPHPの開発チームに報告されたのが今年の8月頃だと。さっき中谷さんも言及されていた、最初に報告したセキュリティ企業のカリフの研究者は、それをAIを相棒にして調べたと公表していると。

実はこういうことはよくあることで、これだけ影響力が大きいシステムの脆弱性が発見された時っていうのは、一旦それをすぐに公表するわけではなくって、パッチをまずは作りましょう。パッチというのは修正プログラムみたいなものですよね。そのパッチを公開した後に、実はこういうのがあったんだっていうのが一般的だとされている中で、実は今回に限っては22日に修正するパッチを公開予定であったのが、前日の21日に漏れてしまったと。その漏れた情報を元に攻撃者がそれを見て先回りして攻撃を始めた、みたいな流れで合ってます？

大筋合ってて、漏れちゃったのはパッチが漏れたというよりは、パッチを当てる前のシステムの攻撃方法が漏れたっていうところが正確なところです。

こういうことよくあるんですか？

正直、たまによく、たまによくあるっていうのは変ですけど、1年に何度かは見ますね。

そうですか。

攻撃が先のパターンは割とあります。それは理由があるんですけど、1つには攻撃を見つけたっていうセキュリティ技術者の功名心だったりすることもあるし。

ちょっと自分で言いたいみたいな感じですか？

そうそう。そういうこともありますし、あとは単純に手続き、スケジュールの勘違いで、もう世の中でちゃんと脆弱性の内容、パッチが公開されたと勘違いして、先に攻撃を出しちゃったっていうパターンもあるし、そういうことはあることではあります。

なるほど。でもこれはかなり、よくあることだとはいえ、影響力が大きいクリティカルなバグだったっていうことと、世界中の7割のウェブサイトが使っている。しかも言語だったってことです。

そうですね。PHP。

ここが一番ややこしくて、これまで色々個別にあった、例えばタイムズカーの件ですとかっていうのは、基本的には個別の企業の脆弱性が見つかったってことですけど、そこを支えるというか、土台になっているプログラミング言語自体の脆弱性が見つかるっていうのが結構特徴的ですよね。

そうですね。言語の脆弱性であって、しかも任意コード実行までできるやばさで、かつ先に攻撃がリークしたってことで、これはセキュリティ担当者からしたら悪夢のような事態ですね。

なるほど。分かりました。じゃあこの結果、何が起こるのかというのがこれになるんでしょうか？

そうですね。これは攻撃によってどんなことが起こり得るかってことを書いている、Wizというセキュリティ製品を出している有名企業の解説図なんですけど、図が2枚ありまして、1枚目がこちら。2枚目も一旦お出しいただいて。

2枚目がこちらですね。

2枚目がこちらで、この2枚はさっき説明した2種類の脆弱性っていう話をしてるというよりは、その2種類を使ってどんなことができるんだっけっていう影響を2種類で書いた絵だと思っていただければいいかなと思います。

ちょっと小さくしますね。

こっちの2個目の方からいこうかな。2個目の方が案外と分かりやすいので。これ2個目、何が起きてるかっていうと、一番左、アタッカー、攻撃者ですね。攻撃者がその下のメモリダンプっていうものを受け取ってます。

メモリダンプ。ここですね。

そうです。メモリダンプって何かっていうと、要はメモリのデータなんですよ。攻撃者はインターネット越しにいるわけですけど、インターネット越しに攻撃対象のサーバー、そこのサーバーの中のメモリのデータを引っこ抜けちゃうって言ってるのが、この絵で言っていることですね。

なるほど。

引っこ抜くためにやってることっていうのが、攻撃者のメモリダンプの上側の、スペシャリークラフテッド、要はHTTPリクエスト、ウェブの通信を、うまいことっていうと表現が変ですけど、攻撃をうまく作ってリクエストをしてあげると、ウェブサーバーの中で先ほど簡単に申したような脆弱性が発現し、こういうことが起き得るんですけど、1つにはサーバーがクラッシュしてしまう。故障して、もしかしたら次のリクエストはもう正常に返ってこない。こういうことも起きるし、ここの絵にあるようにメモリの中身を抜き取ることもできるかもしれないっていうふうに言ってるのがこの絵で。また1枚目に戻っていただくと。

こっちで私がさっき言ったRCEっていうのが右側に、3個ともRCEって書いてあるんですけど、赤い枠で。

これですね。

そうです。これが任意コード実行で、さっきのよりさらにうまくリクエストを作ると、その任意コード実行までいけちゃうよっていうのがこの絵で書いてて、真ん中の方に書いてあるアイコン3つっていうのは、一番上のがWordPress。

そう、WordPress。

全部CMS、ブログとかを作る有名なソフトウェアなんですけど、WordPress、Drupalっていうやつ、あとJoomlaっていうやつ。結構セキュリティが好きな人だったら、よく練習問題とかに出がちなんで割と知ってるんですけど、こういうPHPでできたシステムに対して悪いリクエストを送ると、RCE、任意コード実行までできちゃうよっていうふうに書いてるのがこの絵ですね。

これ実際の企業の事例に当てはめると、例えばどんなことができるってことですか？

これはやっぱり任意コード実行っていうのはサーバー側に侵入できちゃったっていうことを意味するので、基本的にそのサーバーでできることは何でもできるようになってしまうと思った方がいいです。一応、詳しい方のために言っておくと、サーバーの中でPHPを動かしているその権限の範囲内で何でもできるようになります。

じゃあ何でもできるってなった時にどんな被害が考えられるかっていうと、例えば1つにはPHPのサーバーで動いている、というかPHPのサーバーの中にあるデータを奪われてしまう。さっきのメモリダンプみたいな話をしなくても、RCEを起因に情報漏洩をさせるってこともまずできます。

あとは情報を破壊する。例えば分かりやすくはウェブページの改ざんですよね。すごく、ここはハックしたぜみたいなウェブサイトに書き換えることもできるし、もっと巧妙に攻撃者のサイトに誘導するようなフィッシングサイトに書き換えてしまうようなこともできる。

あとは最後にあるのは、サイト自体を落としてしまう、ダウンさせてしまう。だから普通のユーザーもアクセスできなくなってしまう。こういう、よくセキュリティではCIA、C、コンフィデンシャリティ、機密性。I、インテグリティ、完全性。A、アベイラビリティ、可用性っていう3つが大事だよって言ってるものがあるんですけど、このいずれも破壊し得るのがRCEっていう攻撃になります。

なるほど。だからがゆえに、一番レベルが高い脅威だと。

そうです。

極端な話、例えば高市総理のホームページもPHPで書かれているとするならば、おそらくここに攻撃を仕掛けて成功した場合には、例えば高市総理になりすまして、ブログの文章をアップするとか、写真を変えるとか、そんなようなこともできちゃうってことですか。

大筋そういうことです。高市総理がそのウェブページを更新してるかは存じ上げないんですけれども、やっぱりそういう著名人の方のウェブサイトを書き換えるっていうのは、偽情報の工作などでよく取られる手ではあるので、そういう影響も考えられます。

我々のような一般の人からすると、例えばまた違う企業に登録してる場合、個人情報を登録してる場合、これきっかけでその個人情報が抜かれるってこともあり得る。

そうですね。あり得ます。やっぱり自分がサービスAというものを使っていて、サービスAがPHPで運用されていて、そのサービスAがこの攻撃をやられてしまったら、もしかしたら我々の個人情報が抜かれてしまうだとかっていう影響はあり得る。

あと怖いのは、さっきサーバーの中でできちゃうことは大体何でもできるって言ったんですけど、もしPHPで動いてるサーバーが社内システムと裏側のネットワーク、イントラネットでつながっちゃってた場合、そこのウェブサーバーを起点に裏側の社内システムにまで攻撃者が移動して、侵害範囲を社内システムまで広げるってことも考えられるので、かなりこのRCEっていうのはいろんな攻撃の起点になる、怖い攻撃クラスですね。

なるほど。やっぱりこの1か月間のセキュリティ関連の事例の多さっていうのは、目を見張るところはあるんですけれども、やはり背景にあるのがAIっていうことだと思うんですけれど、今どういうような変化が起こってるっていうふうに思われますか？

そうですね。やっぱりAIによっていろんな攻撃がやりやすくなったと思っていて、例えば今回のPHPの例で言うと、オープンソースで公開されているソフトウェアのソースコードをAIで研究させて脆弱性を探す。探した脆弱性を実際に突くような攻撃も、これまたAIで作り出すっていうふうに、攻撃を見つけて作るっていうところもまずAIでできてるっていうのと、あと、そういう誰かが見つけてくれた脆弱性に基づいて、どこかのサイトを場合によっては幅広く、場合によっては1か所をじっくりAIに攻撃させるっていうこともできるようになってきていて、やっぱりAIが攻撃を広く深くしているっていうところは最近感じております。

なるほど。今回PHPという、かなりクラシカルな伝統的なプログラミング言語が狙われたわけですけども、例えば最近で言うとAIってほとんどPythonで動いてたり、あとはアプリとかもそうですよね。他のプログラミング言語が今回の事例同様に、知られざる脆弱性が発見されるっていうことは、可能性としてはいかがなんでしょう？

これはあり得ると思っています。やっぱりさっき言ったようにPHPもオープンソースなので、プログラミング言語の設計どころかソースコードが世の中に公開されている。だからAIで分析されやすいっていうのが、他の世の中でよく使われているプログラミング言語もほぼ全てと言っていいんじゃないでしょうかね。オープンソースでできているので、やっぱり各言語の脆弱性っていうのはすごく研究しやすくなっているので、危ないと思っていて。

ちょっとマニアックな話を1、2分させていただくんですけど、今回のPHPみたいなメモリ管理系のバグは、やっぱり任意コード実行とかにもつながり得るような、影響が大きくなりやすいんですよ。じゃあPHPってメモリ管理系のバグを引きやすい言語なのかっていうと、他の言語も割ととんとんだと思っていて。

これ何を言ってるかっていうと、PHPをプログラマーとして書く時には自分はメモリ管理なんか別にしないでいいんですけど、さっき脆弱性の発動条件で、めっちゃでかいデータを送るとか、エラーを起こさせるみたいなこと言ったじゃないですか。変なことをすると、PHPの領域をはみ出て、PHPを作っているC言語っていう層、PHPの処理系の方に処理がいくんですよ。

なるほど。

C言語っていうのはPHPと違ってメモリ管理を自分でしないといけない言語なので、PHP自体を開発している方がメモリ管理に少しでも落ち度を発生させていたら、このようなことが起きるっていうのがまず1つあります。ちなみにこの落ち度って言ったのは、じゃあ注意してれば落ち度はないんですかっていうと、全然そんなことはなくて、メモリ管理はもう人間には無理だっていう結論が大体出たから、メモリ管理が不要なプログラミング言語が最近流行ってるという事情もあります。

なるほど。

他の言語もやっぱりどうしても裏側がC言語で書かれていたり、一部だけC言語で書かれてるって事情もあります。これはPythonなんかはまさにそうで、Pythonも基本的にはC言語で書かれてる。だから今回のPHPと似たようなことが起きると思った方が良いのと。

最後に私の好きな言語でRustっていうのがあるんですけど、これは極めてメモリ安全にしっかりした、割とモダンな言語と呼ばれてるんですが、Rustも意図的に、ここの部分はOSとかに近い処理をするから、ちょっと一旦言語の安全機能を解除していろんなことを書かせてよっていう、unsafeとか言って書ける領域があるんですよ。多分、これからRustとかを研究する人は、そういうunsafeで書かれたコードとかの部分をめちゃくちゃLLMで解析して、そこの脆弱性とかを探して突くみたいなこともこれから発生すると思うので、言語によらずこういうことが起きるだろうなと思ってます。

なるほど。今回、メモリ管理系のバグは人間には発見しにくい、AIだったら発見しやすいという特性があったからがゆえに、メモリ管理系のバグを発見したということなんですけど、メモリ管理系以外の部分でも、人間には発見しにくいんだけどAIだったら脆弱性が見つかるかもな、みたいな領域っていうのは複数あるものなんですか？

そうですね。基本的にもはやソースコードから脆弱性を発見するっていうのは、どの種類のものであっても人間よりAIの方がまず早い。確実に早いのと幅が広いっていうのがあって、人間であってもこのぐらいなら見つけられるよねっていうバグはもちろんあるんですけど、その時人間は、いきなりソースコードを一から読むんじゃなくて、まず動かしてみて、あるいは仕様書とかを読んでみて、この辺怪しいなって当たりをつけてソースコードを見て、色々と解析する必要があるんですが、もうAIなんかにはリポジトリ、OSSのソースコードをぽんと放り込むだけで勝手に解析してくれたりするんで、どんな脆弱性も人間よりLLMの方が明らかに探すのが早くなってるし、正確になってるっていうのが実情ですね。

なるほど。結構大変な時代ですね。

大変な時代です。

これじゃあ実際に、今回PHPを使っていらっしゃった企業っていうのはたくさんあるということなんですけど、基本的には昨日の夜に公開されたパッチを当てればいいだけと思っていいんでしょうか？

これはまずそこは絶対やるべきなんですけど、それで必ず安心かっていうのは、まだ続報は注視してみる必要があって、ここに、スタジオに移動するまでの間も、そのパッチを当てた後も新しい攻撃が見つかったぜっていうX投稿は特に海外から見られていて。ただ、それが本当に正しい攻撃なのかっていうのは、まだ定まってないぐらいなんですけど、このパッチ2つ当てたから大丈夫まで言えるかは、やや微妙な……。