PHPとNode.jsの重大な脆弱性に企業はどう向き合うか：イーセットジャパン永野智氏が語る初動と「止める」判断

皆さん、こんにちは。PIVOTの野島です。本日は、昨夜から話題になっているPHP、そしてNode.js、これらの重大な穴で、それらに対して我々がどう対応すべきなのかというのを専門家と一緒に深掘っていきます。大手の会社様、そしてシステム開発だったり、そういったセキュリティの担当の方々は、本当に昨夜から一晩で対応しているというところも多いというところで、本当にお疲れ様です。ただ、ホームページを外の制作会社に任せている会社であったり、何年も前に作った自分のサイトがあるとか、あとは自治体はどうしたらいいのかとか、こういったところを今日詳しくお伺いしたいなと思っております。イーセットジャパン株式会社代表の永野智さんにお越しいただいてます。永野さん、よろしくお願いいたします。

よろしくお願いいたします。

先日もセキュリティの話でお話を伺ったばかりですけれども、改めて今回の昨夜からの騒ぎというのをどうご覧になってるんでしょうか？

実際に私自身は、もう昨夜は11時前ぐらいにはベッドの方に入っていましたので、朝、きちんと理解をしていたんですけれども、そこまでの間にグローバルではかなり大きな動きがあったなというふうに思っていますし、今回のケースというのは特に、単なるホームページの不具合みたいなものではなくて、もう本当に多くの組織が共通して使うソフトウェア基盤の問題だというところが非常に大きいなというふうに思っています。実際に多くの組織が使っていますので、誰が何をどうすればいいのかということをきちんと把握する必要がございますし、特に緊急に何をすればいいのかというところを中心に、皆さんの対応するレベル感みたいなものを合わせておく必要があるかなというふうには考えています。

永野さんご自身はもう20年以上、このセキュリティ、ITの世界にいらっしゃると思うんですけれども、今回のPHPの穴の話であったりとかっていうのは、世界中で前代未聞なんて言葉も使われることもありましたが、反応としてと言いますか、ご所感としてはどう受け止められましたか？

実際に今までそういうことが全くなかったかというと、実はございます。2014年ぐらいだったと思いますけれども、Heartbleedという脆弱性が見つかった時には非常に大きな問題になりましたし、あと2020年から21年だったと思いますけども、Log4Shellという、これも言ってみれば共通基盤のところが狙われる脆弱性というものが出ていますので、実際に今までなかったことではないんですけれども、やはり今、もうデジタル化がどんどん進んでいて、中小企業も中心に様々なウェブサイトを運用しているというところが拡大していますし、あとはそれに対して攻撃者側もAIの技術等を使って、広範囲にアタックをかけることができるという事情が変わってきているというところから、対策も早め早めにやらなければいけないというところは、そこの事情は変わるかなというふうに思いますが、脆弱性に関しては特段珍しいということではなくて、今までもあったものになります。

今回は、セキュリティ担当者だけではなく、セキュリティに詳しくない方、そして中小企業の皆さんにもぜひお伝えしたいというところで、できるだけ噛み砕いて皆さんにお届けできたらなと思っております。まずは昨夜何が起きたのかというところも、一度整理したいと思います。ちょっと現地時間と日本時間が混じっているんですけれども、昨夜、現地時間の10月20日と言われていますが、PHPの公開前に様々な情報が出回りまして、その中でPHPに重大な穴があるよねという旨の投稿が掲示板にされたと。PHPはその上で公開を1日前倒し、修正版の公開を進めていたと。それらの情報を受けて昨日の昼くらいから、ある一部の企業は予防のための停止ということをしている、一部のサービスを停止したということなんですね。そして昨夜10時頃にPHPが、予告の23時より早く修正版を公開したというところで、その公開直後から様々な方々がこの対処に当たったというのが流れです。

PHPというのを先ほどから何度もお伝えしていますが、他にもNode.js、こういったものの修正版も公開されたということで、この2つが特に注目されているのかなと思います。改めてこのPHP、そしてNode.jsとは一体何なのか、まずはPHPからお願いできますでしょうか。

Node.jsもPHPも、ウェブサイトに使われてるという点では同じになるんですけれども、実際にウェブサイトを運用する時には、サーバーですとか、あとブラウザー側で何を処理するのかというところが重要になってくるんですが、今回の脆弱性というのはサーバー側の問題というふうに捉えていただければと思います。

このPHPというのは、非常に多くのウェブサイトが採用している技術にはなりますので、ある調査会社、もしくはセキュリティ会社の調査では、大体ウェブ全体の7割ぐらいが、そういったPHPの技術を何らかの形で使っているというようなデータもございます。ただこれは普及率の話になりますので、今回の脆弱性がそれらウェブサイトに全て関わるというふうには捉える必要がないというふうに思います。

今、私がClaudeに聞いて出てきたものなんですけれども、例えばこのPHPが使われてるの、WordPress、ホームページだったりとかブログに使われているのも、かなり企業さんでいらっしゃるんじゃないかなと思ったりとか、あとネットショップの一部であったり、WikipediaなんかもPHPを使っているということなんですが、具体的に何をしているところなのというところを、よりClaudeに聞きますと、こういう答えが返ってきました。昔のホームページって誰が見ても同じ内容がある程度貼ってあるだけだったんだけど、今のホームページってログインをしたりとか予約ページがあったりとか、その人のやりたいことによってホームページ内でも色々行かなきゃいけないところがあるよねと。その受付係みたいなものがPHPと思ったらいいよと、私は説明をもらったんですが、これは合っていますでしょうか？

ざっくり理解する時には、そういうふうに考えていただいても結構ですし、いわゆるウェブサイトの裏側ですね。サーバー上でプログラムを動かすためのプログラム言語というふうに捉えていただいた方がいいかなというふうには思います。

なるほど。

なので、利用者から届く要求を処理する土台になりますから、ウェブブラウザーがサーバーに行った時に、その要求を何かしらの仕組みで動かすための土台になりますので、実際にそれに欠陥があるかどうかというのは、画面が壊れてるとかそういうふうに見えるような形で見えないんですね。後ろ側で動いている話になるので、その後ろ側で動いてるところの脆弱性が今回発見されたというふうに考えていただければと思います。

それはNode.jsも同じと見ていいんでしょうか？

はい。JSというのはJavaScriptなんですけれども、それを短くしたものになりますが、このJavaScriptというのは通常はブラウザー側での処理の仕組みのプログラム言語なんですね。それをサーバーサイドで、裏側の技術として使えるようにしたフレームワークがNode.jsというものになります。このNode.jsもかなり枯れた技術ではありますし、たくさんのウェブサイトで利用をされているというものでは、普及率とかも含めてPHPもNode.jsも、もう同じぐらい普及しているよというふうに捉えていただいて結構だと思います。

そうなった時に、これを聞くと正直、聞き慣れない言葉が多いので、うちIT企業じゃないし関係ないよねって思ってしまう企業さんもいらっしゃるかなと思うんですけれども、知らないうちに自社の何かがPHPやNode.jsを使っている可能性というのが、先ほどのPHPで言うと普及率が10サイトに7つぐらいみたいなデータもあるということですが、どういうものに使われているものなのかみたいなのって、ざっくり教えていただいてもいいでしょうか？

はい。ほぼほぼ、このWordPressですとかEC-CUBEというのは、実際にウェブを管理する上でのプラットフォームというふうに考えていただいて結構なんですけれども、そこで何かしらの処理をする仕組みですね。それがパッケージとして販売されているので、それをカスタマイズして運用されているというのが一般的な企業の利用の仕方になります。今回このPHPだとかNode.jsっていうものが分からない。本来分からなくていいものなんですね。

ただ、これ自動車業界のリコールとかと同じような感じで捉えていただいて結構だと思うんですけれども、異なるメーカーだとか、違う車があったって同じ部品を利用することってありますよね。その部品に重大な欠陥が見つかったっていう形になりますので、そうすると、その所有者はその部品が直るまで利用を控えましょうねとか、実際にその車っていうのはリコールになりますよ、そんな形で捉えていただいた方がいいかなというふうに思ってます。

なるほど。ただ一般企業の皆さんって、自社のサイトが何で動いているのかというところまで、つまりは発注しちゃっているので、その発注先が勝手に使っているってことですよね。それは悪いことではなく、それを自分たちでカスタムして作っているということなので、まずはそこから把握しないといけないっていうことなんでしょうか。

おっしゃる通りですね。実際にこういった事案の場合には、例えばメッセージとして、すぐにパッチ適用をしてくださいみたいなことを言うと思うんですけど、それだけだと不十分だというふうに私は思います。つまり企業の担当がいらっしゃる場合もあれば、そうはいらっしゃらなくて、実際にベンダーさんにお願いしたりだとか、そういうことだと思うんですね。そうすると数時間でそれを直すとかっていうこともできないですし、そこの人たちが直してくれない限りできないよっていうことにはなると思いますので、やはり現実的に数時間で収拾するっていうことができる企業というのは限られてくるというふうに思っています。

もう少しだけ何が起きたのかというところを深掘りますと、PHPの話の中でも、PHP2Shellと言われているものが危ないと言われていたと。これは具体的に何が危ないのかというのも教えていただけますか？

今回のPHPの脆弱性っていうのは2つ見つかったんですけれども、実際にこの問題の核心というのは、その脆弱性が見つかったサーバー上で何が起きるかというと、ログインも利用者の操作も何にも必要はなくて、外部から通信によって攻撃者のプログラムを実行される可能性があるよっていうことになります。これを遠隔コード実行っていう言い方をするんですけれども、リモートコードエグゼキューションっていうものですね。RCEっていうものですけれども、これはすごく危ないんですね。つまり外からウェブサイトでそういう脆弱性というものを見つけてあげると、もうそこの中で何でもできてしまうという脆弱性が見つかりましたよというものになります。それがこのPHP2Shellという仕組みの中で発見されたということですね。

PowerPointの左側に、これClaudeがちょっとまとめてくれたものなんですけれども、各部署というものが会社にあるとしたら、どれだけそのドアを頑丈にしていても、受付係の人たちが「こちらですよ」って言って通しちゃったら駄目だよねと。例えばその受付のところがすごく混雑だったりとか、パニック状態になった時に、前の人の書類を全然片付けないまま次の人に対応してしまったりとか、そういうことがあると、名乗らなくても奥の事務所まで勝手に行けちゃったり、他の人の書類が見えたり、これが例えばパスワードだったり、その人たちの情報が見えたりというような、かなり深刻な脆弱性というものが見つかったということなんですよね。

そうですね。今回、実際にこういった脆弱性が見つかった時には、スコアリングというものをしている団体がいるんですね。そこのところで10段階のうち今回は9.2っていうところになっていますので、緊急対策をしなければいけないっていうものに位置づけられています。ですので、これは非常に広範囲で、こういったことを放置しておくと色々なウェブサイトに影響が出てくるっていうものにはなっていますから、非常に重要な欠陥が見つかったというふうに捉えていただければと思います。

ただ、それだけ聞くと、何かすごく危ないように聞こえてしまうのですが、全てのサイトがじゃあ一発で乗っ取られるのかというと、多分そうではないというところで、具体的に正しい怖がり方というのが何なのか、これはどう見たらいいんでしょうか？

実際に、まず対処ができるかできないかとも含めて、きちんと計画を立てるべきだというふうに思います。計画を立てるというのは何かというと、今何が使われているのかというのが全く分からないような企業さんもいらっしゃると思うんですよね。そうなると、その企業が使っている、実際に公開してるウェブサイトというものは、どこのベンダー、もしくはどこの業者、もしくは誰が何を作っているのかというところを把握するというのは非常に重要です。それをまず把握して、それに対して対処策というものを作っていくというところが重要になっていきますので、まずはこういった時には落ち着いて、実際にこれを経営課題としてどういうふうに対処しましょうかというものを、まず話し始めるというところから始めていただきたいと思います。

その時に重要なのは、すぐに対策ができて、数時間もしくは数日中にできるかどうかというのは、それぞれの企業で違います。つまり先ほど申し上げた通り、PHPというそもそもの技術を誰がどう管理しているかというところに依存していますし、またこれを勝手に自分で直すことができる企業っていうのも限られているというふうに思うんですよね。例えばAmazon Web Services上でウェブサイトを立ち上げてますよと。AWSさんはそこのところで、ウェブサイト自体はPHPで作ってるかどうかっていうのは実際の企業さんの責任なので、そこにはパッチを当ててくださいねというふうに言いますけれども、それがどういったOS上で動いていて、どのようなソフトウェアが動いていてっていうところを誰が管理していて、何をしているのかっていうことは各社で違いますので、まずはそこを洗い出していただくっていうことが重要です。

もしもそれで、数日中にもしくは数時間で解決しなさそうだなというふうになったことが分かれば、少なくともウェブサイトは遮断しておくということも重要だというふうに考えておりますし、そこを選択肢の中に入れておかないと。つまり、もう必ずウェブサイトっていうのを立ち上げているんだということではなくて、そこには実際に「今はメンテナンス中です」とか、そういった形でウェブサイトを一定時間遮断しておくということも選択肢に入れておくというのが重要かなというふうに思いますね。

その判断軸というのは、今回もすごく早い企業さんは、かなり早いタイミングで、サーバーの提供をするサイトを停止するということをしていたと思うんですけれども、そうじゃない会社さんも一部はやはりいたと。その線引きをどう、誰がするべきなのか、この連絡系統みたいなところはどう考えるべきでしょうか？

まずやはり影響評価ですとか、対策計画の策定ということに関しましては、実際に中小企業さんでしたらば経営課題として、役員、社長さん、そういった方も入りながら、実際に窓口となっていた方たちと、それから対応している業者さんとで、まずは一旦お話をするっていうふうに考えていただいた方がいいと思います。もちろん、もっと規模の小さい会社さんでやられてることとしては、例えばウェブホスティングの会社みたいなものもあるわけですよね。ウェブホスティングの会社さんから出る公式発表みたいなものですとか、そういうことも理解しておく必要があるかなというふうには思っています。

そのウェブホスティングの会社というのは、言ってみればITの専門家がいらっしゃるわけなので、そこについてある程度、時間軸、このくらいでできますよということは発表していただけると思いますから、そうしたらば企業さん側としては、やることとしては、実際に修正が終わるまではシャットダウンしておこうとか、そういうような判断になるというふうには思いますし、そうではなくて、もう自社で運用してますよということなのであれば、それはもう早急にPHPですとか、そういったものの新しいパッチが出ていますので、それをアップデートしてっていうことをきちんとやっていくということになるかなというふうに思いますね。

今回これだけ大きな話題になりましたが、そういったところで攻撃を受けている会社だったり、実際に何か流出があったりというような話というのは出てきているんでしょうか？

まだ今の段階では、大きなものは我々も含めて発表されていない認識でおります。実際に、あとはこういったのをファイアウォールで守りましょうというような企業さんもいらっしゃって、そういったウェブアプリケーションファイアウォールを提供されている会社さんも、「こうなりましたよ」っていうような発表はされてない認識ではありますが、これからどうなるかっていうのをきちんと見ておく必要があるかなというふうに思いますね。

そしてPHPだけではなく、Node.jsのところも10件、そして先ほどもランクで言った時には緊急ではなく、「高い」というのが4件を含んでいたということですが、それぞれの対応をどれくらい急がなきゃいけないのかというところの考え方も含めてお伺いできますでしょうか？

一律には分けられないんですけれども、ざっくりPHPの方が緊急性は高いというふうには捉えていただく必要はあると思います。ただ、PHPは例えば今日やりましょう、Node.jsは来週ぐらいにやろうというふうに分けられるものではないので、やはりNode.jsの今回の脆弱性の中でも、圧縮データを展開するようなサービスを使っている企業さんっていうのは、かなり緊急対応が必要だなというようなカテゴリーのものもありますので、そこについてはやはりNode.jsを使っているかどうかということをきちんと把握するっていうことですとか、それの使い方も含めてきちんと把握しないと、なかなか対策は作れないんじゃないかなというふうに思いますね。これは規模が大きなウェブサイトはそういうふうになっていくというふうに思います。

改めて今回のこの脆弱性の穴を、PHPに関してですけれども、見つけたのはセキュリティ会社がAIを使って行った調査だったという話も入ってきていますと。8月くらいに見つけてPHPに報告していて、今回公開に至ったと。以前ならこういうのって、トップクラスのチームで数か月かかってやっていたような作業だったと思うんですけれども、今回はこのAIを使って研究者1人が1週間ほどでこなしたなんていう話もあると思うんですよね。なので、AIのこの脆弱性を見つける力というのは、あまりにもやはり速すぎると言えるのか、ここへの警戒感というのはどう見てらっしゃるんでしょうか？

やはり今まで手作業ですとか、たくさんのチームでやっていたことというものを、AIの技術を使うことによってスピードも速くなっていますし、それから今まで見つけられなかったものを見つけるっていうことができるようになってきたというのは、ある意味技術の進歩とも言えると思いますし、新たなリスクという形で捉えることもできるというふうには思っています。実際に長年問題なく動いていたから安全というふうに考えるのではなくて、やはり新しい問題っていうのが判明した時に、使っている場所を特定できて、しかも更新できるよう、常にやっておくというのは改めて重要なんだなというふうには、私は認識を改めましたかね。

ありがとうございます。企業さんから寄せられている質問というか、「これ大丈夫なんですか」というのをぜひぶつけていきたいなと思うのですが、例えばPHPのバージョンの話です。例えば「私、7.4とか7.3以前のものを使っているんです。今回修正ですと、そういった場合にどうしたらいいんですか」というような声もあったんですが、これはどう見たらいいんでしょうか。

そうですね。公式の修正版の対象が、確か8.2から8.5だったというふうに思いますし、ただAWSですとかCloudflareさんだとか、そういったような企業さんはPHPの5.4ぐらいから影響対象というふうに扱っていたというふうに理解してます。こういった5.4だとか8.1ぐらいのものっていうのは、上流のリリースがなかったというふうに思いますので、OSですとかホスティングですとか、それからあと、こういったものをサポートしてるベンダーの確認だとか、対応への移行というものが必要になってくるはずです。ですので、やはり自分のところでできないっていうような場合には、そういったものを提供されているベンダーさんだとか、サポートされてるベンダーさんにまずは問い合わせるっていうことは重要だなというふうに思いますね。

そしてレンタルサーバーを使っていらっしゃる企業、個人の方々もたくさんいらっしゃると思うんですが、そういった方々はどうしたらいいでしょうか？

これもやはりレンタルサーバー側の問題になっていきますので、そこの発表をまずはお待ちいただくっていうことだと思います。もう本当に一両日中に絶対出てくるというふうに思いますので。逆にそこが出てこないような場合には、そこから何かしらのサーバー操作をされてしまう危険性を防ぐためにも、言ってみれば今は鍵の開け方を全て公開されちゃっているような状況になってしまっているので、その鍵を変えるまでは、外壁を閉じておくじゃないですけれども、やはりウェブサイトをアクセスできないようにしておく。もしくはウェブサイトを別のところに誘導するようなことは考えておく必要はあると思いますね。

SNSなどで懸念が広がっているのが自治体ですね。本庁のホームページだけじゃなくって、施設の予約、申請フォーム、観光サイトとか、あと外部に誘導するようなサイトとか、様々な洗い出しが必要なんじゃないかっていう話もあるわけですが、優先順位の付け方、この委託先が多い組織での優先順位の付け方というのは、これもどうしたらいいのかはありますか？

先ほどからの繰り返しになっているんですけれども、やはり大規模な被害につながるかどうかというのは、どれだけ迅速に自社もしくは自分の自治体の利用状況を把握して、それに対して誰が責任を取っているのかというものを特定して、更新や修正を実施できるかに依存しています。ですので、実際に誰が何をしているのかということを把握して、それに対していつやれるのかっていうところを理解するということですね。それがまず一番初めに重要になります。

これ今、PowerPointで表示もしていますが、「ホームページを守るために今日確認すべき3つのこと」というのを永野さんにまとめていただきました。これも再度お願いします。

まずはやはり何を使っているかということを、きちんと把握していただければというふうに思います。今回PHPやNode.jsがフィーチャーされてますけれども、他の脆弱性というのはもちろんありますので、そこも含めてウェブサイトの基盤だとか、あと可能であれば今何のバージョンが使われているのかまで、調べる必要があるというふうに認識してます。その次には、自社でやっているのか、制作会社でやっているのか、サーバーの運営会社がやってるのかという責任範囲を明確にしていただく必要があると思います。その後には、いつ修正するのかというようなタイムラインを決めていくということですね。

特にエンドユーザーのお客様が利用されるようなウェブサイトをお持ちの場合には、そのサイトをいつまで使えないんだということで不安になられるユーザーさんもいらっしゃると思いますので、いつぐらいをめどにどうしますよというところをきちんと連絡をする必要があると思いますし、もしも修正のめどが立っていないのであれば、一時停止ですとかアクセス制限ですとか、そういうことを検討していただく必要があると思います。

そして、もし制作会社だったりサーバー会社に委託をしているよ、またはお願いをしているよという場合には、どんなものを質問として挙げたらいいのか、ここもまとめていただきました。

まずはやはり、PHPを使用していますかということを問い合わせていただくとともに、実際に稼働しているバージョンですとか、今回の脆弱性への修正は適用済みかどうか、また更新後や修正版での動作を確認したかどうかということも確認いただければと思います。最後にやはり、この脆弱性を使ってもう実際に攻撃されているのかどうかということを理解しておく必要がありますので、特にサーバー会社さんだとか制作会社さんに問い合わせるのは、不審なアクセスがあったかどうかを調査したかどうかということをお聞きするということは非常に重要だというふうに思います。

「対応済みですか？」だけで終わらせると、やはりそこで回答も短くなってしまうケースはあると思いますので、プラグインを更新しましたとか、CMSを更新しましただけでは不十分なので、実際にアクセスに何か不審なものがあったかどうか調査したかどうかを確認しておくということは重要です。

では最後に、本当にこのAIが古い穴というのを次々見つけるというような時代に入ってきたんだなというのを肌で感じているわけですが、様々なサイトなどは、作ったきりというのはもう許されないということなんでしょうか。永野さん、いかがでしょう。

そうですね。特にAI時代に入ったからといったところはあると思います。これはもう本当にデジタル社会にいる上で、特に企業側の責任として捉える必要があるというふうに思っています。やはり今回の事は、自社のウェブサイトが何を使っていて、誰がそれを守る責任を持っているのかといった、非常に基本的な情報把握に関して改めて確認が必要があるよということを示して、怪我の功名という言い方はちょっとおかしくなってしまうので、なかなか言い方が難しいんですけれども、やはり何かあると、もう一度見直そうという気にはなると思いますので、やはり自分のウェブサイトが何を使っているのか、それを誰が守る責任があるのかということを再把握していくということは重要だなというふうに思っています。

そうですね。今回はこのサーバー側の話であったりっていうことでしたが、今までの話っていうと、やっぱりデータの情報漏洩というのも非常に大きくフィーチャーされてきたと思いますので、どこに何を我々は持っていて、誰が管理するのか、やはり管轄がどこなのかというのをしっかりと一度チェックしていくというのは、急ピッチで行う必要があるということですね。

はい。そのように私も理解しております。

ありがとうございます。また引き続き様々なニュースアップデートがあると思いますので、引き続き永野さん、どうぞよろしくお願いいたします。ありがとうございました。

ありがとうございました。

PIVOTアプリで動画を視聴するとマイルが貯まり、豪華特典に応募できます。定番のAmazonギフト券、図書カード、さらには毎月MC厳選のプレゼントもご用意しております。YouTube視聴だけでは得られない特典をPIVOTアプリでお楽しみください。