PHPに「クリティカル」級の脆弱性2件、堀江貴文が呼びかけるパッチ適用と二段階認証

ハローYouTube。ということで、今日は緊急で動画を回しております。今日、PHPという、サーバーサイド、ウェブサイトを簡単に構築できる、そのための言語ですね。PHPっていうのがあるんですけれども、僕はどっちかっていうとPerlっていうのを使ってたんで、あんまりPHPは触ったことないんですが、世界のウェブサイトの7割ぐらいがこのPHPを使って構築されてるというふうに言われております。

中でも、このレンタルサーバーね、レンタルサーバーを使って、そこにPHPをインストールして、サーバー構築をしてるような組織の方々に、これはぜひ聞いてほしい。緊急の問題なんですけれども、セキュリティ、そのアラートのレベルでCVSSという基準があるんですけれども、このCVSSの最新版で9.2という、もう9以上はクリティカルという分類になっておりまして、今すぐセキュリティホールを閉じてくださいと、そのレベルの脆弱性が発見されたということなんです。

このPHPに欠陥があるとなると、例えば世界中で使われてるWordPressっていうコンテンツマネージメントシステムですね、CMSなんかも、全てが影響を受ける、ほとんどのバージョンで影響を受けると思っておりますけれども、最新版を使っていたとしてもこの脆弱性が悪用されてですね、PHP2Shellっていう、シェルっていうのは、何て言えばいいのかな、コマンドライン。

要は、そのサーバーに入り込んでスーパーユーザーになって、スーパーユーザーっていうのは全ての権限を持つユーザーですね。rootとかって言ったりしますけれども、一番上の権限を持つユーザーに、リモートでそのサーバーにアクセスして、この脆弱性を使うと、悪用すると、そのサーバーに管理者権限、スーパーユーザーでアクセスできてですね、全てのことができちゃうと。全てのデータを消すこともできますし。rmだっけ？ 配布Vだっけな？ ちょっともう忘れちゃいましたけど、全部を消すコマンドとかもあったりとか、全てのデータを盗んで外部に持ってくとか。

うちのデータ、そんな大したデータないよって言ってたとしても、大体ね、この間のソースネクストの流出なんかは、秘密鍵暗号で平文パスワードを暗号化してたって、もうとんでもない、とんでもないセキュリティ管理だなと思ったんですけど、基本的にはパスワードはハッシュ化されてると思うので。とはいえ、全部ハッシュ化されたパスワードだったりとか、住所、電話番号なんか、そんなものが全部ダークウェブに流れて、ビットコインとかで取引されるみたいな話になってくると。

それだけではとどまらなくて、踏み台攻撃の場にされてしまう。これも非常に危険性が高いですね。要は管理者権限を盗まれて好き勝手されるわけですから、そこが踏み台になってると、警察が不正攻撃をしてるその踏み台サーバーの管理者ということで、いきなり家宅捜索令状を持って家宅捜索とか、そういったことも十分あり得るので。しかも、賠償責任を負うこともある。

刑事的に、それは踏み台攻撃されただけなので、刑事事件では起訴されないと思いますけれども、その脆弱性を提供したということで、要は空き家を放置してホームレスとか、特殊詐欺グループの拠点にされるみたいなもんなんですけど、空き家を放置してた責任があるでしょう、あなたたちにはっていうことで、文句を言われる可能性は非常にあるということで。

PHPのセキュリティチームは、日本時間の今日23時に、協定世界標準時、UTCの14時ですかね、パッチという、セキュリティホール、バグを直したパッチというプログラムをリリースする予定なので。それがリリースされると、パッチの内容、全てソースコードが公開されてるので、どういう脆弱性があるのか、悪いことする人たちにもその場で、その時点で知れ渡ってしまうので、可及的速やかに、ご自分の管理されてるPHPのサーバー、WordPressとか使ってるところは典型的にそうなんですけれども、パッチを適用するようにしてください。

パッチの適用方法が分かんなかったら、自社の技術者がいないとか、そういうのがあったら、セキュリティサービスの会社とかに緊急で問い合わせてみてください。今日は多分、世界中のエンジニアがこの緊急対応に出てると思いますので。これ、2つも、しかもセキュリティホールが見つかってるということで、どうやらメモリを破壊する、そういう形のバグらしいんですけれども、まだ詳細は発表されておりません。ただ、PHPにすごいバグがあって、今日23時にパッチがリリースされたら適用してくださいということです。

クラウドの、例えばメール配信サービスとか、そういったものを使ってる人たち、クラウドサービスを使っていて、自分たちにWordPressとかPHPとかを触る権限がない。そういう場合は対応しなくて、そのクラウドサービスを作ってる業者さん、管理してる業者さんが対応しますので、そちらの方は心配しなくてもいいんですが。

先日の動画でも私が言った通り、AIを使った脆弱性チェック、既存のね、このPHPの今回の問題みたいな最新の対策ではなく、過去のパッチとか全然当ててない、そういった業者もいっぱいあるので、そういったところにどんどん今、侵入されております。

なので実は、僕のHORIEMON Newsletterって無料版のニュースレターサービスをやってるサービスも今止まってます。何が原因か、ちょっとまだ知らされておりませんけれども、我々は管理者権限がないので、ユーザーとして使ってるだけなので、どうにもできないんですけれども、そういった事例も出てきておりますので、皆さん注意してください。

パスワードとかも、パスキーシステムとか、そういったものを使われるといいと思います。物理パスキーとかもあったりするんですけど、簡易的には例えばスマホのパスキーとか、Google Authenticatorとかですね。いろいろな、その2段階認証ってやつが最近普及しております。

2段階認証システムだったり、パスキーシステムだったり、こういったものを利用することで、少なくとも、ちょっとしたメールアドレスぐらいが流出するぐらいだったら大したこと、スパムが来るぐらいなんで。スパムが来ても、Google、Gmailとかだったら勝手にブロックしてくれるんで、あんまり大きな問題にならないと思いますけれども、証券会社だったりとか、銀行の口座だったりとか、ポイントだったりとか、ビットコインだったりとか、そういったところは直接全部盗まれてしまう可能性が高いので、そういったところはぜひ2段階認証システム、パスキーシステムを導入、今すぐやってください。ということで、セキュリティ対策にいってらっしゃい。

REAL VALUE CLUB、入会4ヶ月で売上が2.3倍に。年間8000万円のコスト削減。採用から40人の採用を実現。経営者が次のステージに行ける場所。入会企業300社。概要欄をチェック。