[２１日 ロイター] – 欧州各地で２１日、政府ウェブサイトの停止が相次いだ。ウェブで最も広く使われているプログラミング言語の一つ、ＰＨＰ（ハイパーテキスト・プリプロセッサ）で２件の重大な脆弱性が見つかったためだ。 もっと見る
以下に押さえておくべきポイントをまとめた。
＜ＰＨＰとは＞
ＰＨＰはウェブサイトを動かすプログラミング言語で、利用者から見えないところで働いている。利用者がページを読み込むと、ＰＨＰが稼働するサーバーがコンテンツを組み立て、完成したページをブラウザーに送る。
無料のオープンソースソフトウエアで、ボランティアが保守している。サイトの所有者が直接操作することはほとんどない。
ウェブ技術の調査サービス「Ｗ３Ｔｅｃｈｓ」によると、使用するプログラミング言語を特定できるウェブサイトの７０％近くがＰＨＰで動いている。ＰＨＰは、全ウェブサイトの約４０％を支えるソフトウエア「ワードプレス」の基盤でもある。これらにはブログ、中小企業のページ、政府のポータルサイト、オンラインショップ、ニュースサイトなどが含まれる。
＜脆弱性のリスクは＞
２件の脆弱性は、業界標準の深刻度評価システム「ＣＶＳＳ」のバージョン４．０で、１０点満点中９．２点と評価されている。ＥＵのサイバーセキュリティー対応チーム「ＣＥＲＴ－ＥＵ」によると、この評価は認証なしで遠隔からコードを実行できることを示す。つまり、攻撃者はパスワードやアカウントがなくても、インターネット経由で脆弱なサーバー上でコマンドを実行できる。
ＰＨＰに一つの欠陥があるだけで、数百万台のサーバーに一斉に同じ侵入口が開かれる。欠陥を悪用すれば、ウェブサイトを支配できる。ウェブホスティングサービスのゴーダディ(GDDY.N)、新しいタブで開きますによると、データの盗難やページの改ざん、システム全体の乗っ取りにつながる恐れがある。クラウドフレア(NET.N)、新しいタブで開きますの最高技術責任者は、初期の攻撃が発生し始めていると述べた。
小規模なウェブサイトの大半は通常、セキュリティー担当者のいない所有者が運営している。共用ホスティングサービスを利用していることも多く、その場合、所有者はサーバーを管理しておらず、誰がＰＨＰを更新するのか把握していない可能性がある。ワードプレス向けのセキュリティープラグイン「ワードフェンス」は、通常の自動更新では今回の修正は適用されないと警告した。ＣＥＲＴ－ＥＵは、影響を受けるサイトを危険にさらしたままにせず、公開を停止するよう勧告している。
＜どのように発見されたのか＞
セキュリティー企業カリフによると、オープンＡＩと協力する同社の研究者が、オープンＡＩのモデル「ＧＰＴ－５．６ Ｓｏｌ」を使って最初の欠陥を発見し、８月１１日にＰＨＰ側に報告した。アルファベット(GOOGL.O)、新しいタブで開きます傘下グーグルが保有するセキュリティー企業ウィズも独自に欠陥を発見し、８月２４日に２件目を報告した。同社も人工知能（ＡＩ）モデルを使用した。
ウィズは、今回の欠陥について「ＰＨＰで見つかった脆弱性の中でも最も深刻な部類に入り、ソフトウエアの歴史全体でもそう言えるだろう」と説明した。根本的な欠陥は数十年前から存在していたが、悪用できると実証するには「人間の研究者が現実的に達成できる限界に近い」一連の手順が必要だったという。
トランプ米政権は「状況を注視し、修正プログラムの公開を早めるため、連邦機関や主要なＳＩ研究機関と調整している」と表明した。ＳＩは、トランプ氏が人工知能を指して好んで使う「超知能（スーパーインテリジェンス）」の略称。政権は今回の発見を、米国の「超知能」が国家安全保障を強化している証拠と位置付けた。
