PHP脆弱性の発見と攻撃リスク
こんにちは、AI駆動開発部の日常へようこそ。このポッドキャストは、日々AI駆動開発を行う企業課の山本とエンジニアの阿部が、AI駆動開発のリアルを緩く語り合う番組です。
はい、じゃあよろしくお願いします。 お願いします。
はい、まずはお疲れ様でしたということで、お疲れ様でした。世界のペチパーの皆さんもお疲れ様でした。
本当に大変だったね、今日、昨日。
まあちょっと、あれですね、PHPにすごく重大な脆弱性が発見されたというところで、
僕も大体はわかっているんですけど、本当の具体の具体みたいなところはわかっていない部分もあるので、
今日はそのあたりの話を、実際何がやばかったのかみたいなところの話。
あとその周辺情報もそうですし、あとはセキュリティ、AI駆動開発するにあたっても普通にシステム開発するにあたっても、特に今は素人でもある意味システム開発っぽいことはできちゃうみたいな時代において、
何気をつけていいんだっけみたいなところまで話したらいいかなと思っています。
ちょっとセキュリティの気をつけた方がいいよね、もしかしたら別のエピソードで後日みたいな感じで分けた方がいいかなみたいな判断もあると思うんですけれども、
時間の兼ね合いでその辺は調整できればと思うんですけれども、
そうですね、まず10月21日の何時ぐらいですかね、結構話題になり始めたのかな。
話題になり始めたのは。
リークによる緊急公開と一斉更新の懸念
僕が気づいたのは朝の12時頃、昼間の12時頃、日本時間の10月21日の12時頃だったんですけど、
どうやら今回その脆弱性が結構問題になった一つの要因としてリークされたっていう、脆弱性があるよっていう話と、
その中身自体もリークされたっていうのがちょうど21日の日本時間0時頃にあって、
ここからかなり日本国内、海外問わず話題になっていったっていうのが1個あったみたいですね。
リークされたっていうのは、いわゆるどういう風に攻撃したらいいかもわかるっていうことをリークされたってこと?
そう、なんかそのセキュリティの専門家の人が実際に攻撃した時の動画をちょっとうっかり公開しちゃったっていうので、
そこを皮切りに。
それはうっかりさんすぎるな。
こういう攻撃成立するじゃんっていうのがボンボン出てきたっていうのが、
今日の21日の深夜ぐらい。
本当にいろんな企業がメンテナンスモードを入れてであったのか、
多分企業によってはメンテナンスモードも入れ続けないといけない状況になっているところもあるのかなというふうに思ってるんですけれども、
実際どういう問題、どういうリスクがあったのかとか、どういう問題だったのかみたいなところを教えてもらえますか?
今回そもそも何がどこに対して問題があったかみたいな話なんですけど、
まず脆弱性が見つかったのはPHPっていう言語ですね。
プログラミング言語の一種で、JavaScriptとかGoとかいろんな言語がある中の一つなんですけど、
このPHPの中で2つ脆弱性が同時に見つかっているような状態でした。
どちらもですね、メモリっていうのはプログラムを実行するときにパソコンが一時空間、作業空間として確保するデータの保存領域があるんですけど、
そこを破壊してしまうっていうバグがあって、
それは破壊をさせることによって、最終的には強制的に外から実行できない権限の人が、
このプログラムを動かしてPHPに強制的に渡して動かすことができちゃうっていう、
そういうようなバグというか脆弱性があったっていうのがあります。
なるほど、じゃあ本来は管理者権限がない人で実行できないようなものとか、
普通はコードって実行できないよねっていうところが、そのPHPのコードを渡して実行できるみたいなところまでになっちゃってるみたいな。
そう、本来動かせたいのにお前動かせっていうのを、
言えちゃう。
言えちゃうっていう状態になってしまっていたっていうところが、一番コアな問題。
僕がそれを聞いたときのイメージで言うと、個人情報を抜かれるとかそういうところを始め、
頭をよぎったんですけど、実際のところはそれを踏み台サーバーって言って、
そのサイトのサーバーを経由して他のサイトを攻撃する土台として使えるみたいな、
そうされるとアタックしたの君だよねって言われて、最悪本当に損害賠償、
サイト自体が請求される可能性もあるみたいな、そんな可能性もあるってことだよね。
だから踏み台サーバーをかまして、他のところをまた外部のところを攻撃し始める。
システムの侵入っていろいろあって、要は入り込んでそのシステムに入っている重要な情報を抜き取るっていうパターンとか、
入り込めてプログラムを実行できる権限を奪ってしまえば、自由に動かせてしまうので、
それをもとに、例えばスパムメールを配信するサーバーとして動かすとか、
それを踏み台に他のサーバーを攻撃しに行くとか、そういうこともできてしまうっていうので、
単純に情報漏洩気をつければいいよねっていう話でもない。
出したら攻撃者まがいなことをさせられてた可能性があるみたいな話でもある。
あと、結局アタックしようとしている人の消息がわからなくなるみたいな感じのものもあるのかな、踏み台サーバー経由と。
ただね、この手の脆弱性、要するに強制的にリモートからプログラムを実行できてしまうっていうのは、
結構ちらほら起きてはいるんですよ、世界中のシステムを見ていると。
それこそプログラムを実行する基盤側に問題がありましたとか、
言語に問題がありました、アプリケーションに問題がありましたってそういうのは起きるんですけど、
今回何が一番きつかったかっていうと、やっぱPHPっていう言語が脆弱性があったっていうので、
PHPの言語自体が、ニュース見てたら世界の7割とかですかね、のウェブシステムでね、
ワードプレスもそうだし、Wikipediaとかいろんなサービス、それこそ日本のサービスですと、
ベースとかそういったサービスで主要に使われている言語なので、
しかも言語なんですよね、これが例えばアプリケーションのフレームワークだったら、
システムだったりしたら、そのシステムを使っている人だけが危ないよねとか、
そのフレームワークを使っている人だけが問題だよねっていう話なんですけど、
システムを動かす一番根っこになる部分がバグってたっていうので、
そのシステムを動かしている人は全員影響範囲になってしまうというところが、
かなりインパクト大きかったんじゃないかなっていうところと、
あと攻撃を成立させる経路が結構簡易だったんですよ、
これまでの他の脆弱性とかっていうのは、やっぱりサーバーに入ってようやく何とかするとか、
まず入ってから暴れるスタイルだと思うんですけど、
入ることがそもそも難しいよねみたいな前提とかがあったりとかしたってことね、
あったりしたんですけど、今回のは要はサーバーに対してリクエストを送る段階で、
その脆弱性を仕込むことができるっていうところで、
リクエストの中にそういうパターンさえ入れてしまえばワンチャン抜けるっていうので、
なので全世界のPHPを動かしているサーバーがリスクにさらされている状態になったっていうのがとんでもなくヤバかった。
じゃあ究極的には僕がポストマンとかを使って、
上手くそういうのを仕込んでポストマン経由でやるみたいなことができなくはなかったみたいな。
おそらく試行錯誤すればできるはずっていうところだったんだよね。
なるほどね、攻撃される面が結構大きいね、そう考えると。
そう、なのでとにかくヤバかったっていうところがあって、
これ聞いただけでも結構ヤバいなって思う人は多いと思うんですけど、
これに加えてですね、もともとこのPHPの脆弱性があるっていうのは、
2ヶ月以上前からすごいこの開発、PHPを開発していたり、
セキュリティの専門家の人たちが取得された情報として知っていて、頑張って直して、
10月の22日の23時に公開して、公表しましょうって約束してたんです。
それもう予定だったんだ、なるほど。
予定だったんですけど、しかもそれって今収録してるのは22日なんですけど、
本当は今日予定だったんですけど、うっかりリークとかが入っちゃったせいで、
前日に前倒しになって昨日、緊急で公開っていうところにもなっているっていうところがあって、
よりこのリークされたことによって、しかもリークされたことによってですね、
じゃあみんなやっぱり試してみたくなるわけじゃないですか。
本当にそれできるのかなって。
できたって言って公開する人がいるんですよ。
やったぜ、できちゃったぜ、やり方みんなに共有するねみたいなとんでもない奴らがワンソが出てきちゃって、
Xに投稿したりとか、GitHubっていうソースコードを公開できるようなサイトにできたよってやっちゃったところもあって、
いやもうこれはまずいぞっていうのが、ちょうど昨日の明け方ぐらいに大騒ぎになっていたっていう状態だった。
なるほどね。やばいね。場を乱す人っていうのはどこの世界にもいるわけですね。
みんなで2ヶ月かけてしっかり黙って直して、直したら公表しようって約束してたのに、誰かポロッとしちゃって。
今回この脆弱性を検知したというか、見つけたのがオープンAIが見つけた?
オープンAIが見つけたというか、モデル自身が見つけたというか、AIが見つけたというか。
厳密に言うとオープンAIの組織が最初に発見しましたってわけではないんですけど、
このバグの一番根っこになる、こういう問題起きそうだよねって話自体は、
調べてると2024年ぐらいに実は内側で見つかってたみたいなんですよ。
なるほど。
2年前ぐらいに。ただ何か問題ありそう。
でもその問題を使って実際に攻撃を成立させようとしてもそれがうまくできなくて、
じゃあそれって本当に問題になるのかなとか、それに対して回収しようとするとやっぱり世界規模に影響出るっていうのがあって、
どうしても進展してなかったところ。
今年の8月頭ぐらいですかね、オープンAIがパッチ・ザ・プラネットっていう、
全世界のソフトウェアの脆弱性を直そうみたいなすごい意気込みのファウンドみたいな形成していて、
それの一部であるセキュリティ企業に対してAIの支援を行った結果、
その一部のセキュリティ会社がオープンAIのGPT5.6ソルですかね。
5.6ソルなんだね。
なんかね、アストラとかじゃないんだったと思うんですけど。
それで実際に攻撃を確立できたっていうところで、
いよいよまずいぞっていうところが8月の中旬頃に出てきて、
深刻なリスクとして急ピッチで対応を進めていたところだったっていう、
そういう状況だったんですね。
ちなみに、
ちょっと2つ、これみんなわんわん騒いでるけど、
そもそもみたいなところで僕が気になったのは、
まずPHPのバージョンアップデートしてくださいと。
そんな全世界のPHPのペッジパーたちが一斉にアップデートして、
どういう仕組みなのかちょっとわかんないけど、
落ちたりしたいのかなみたいなっていうことと、
あと、ある週10月21日の23時に、
PHPの最新バージョンが公開されましたってなって、
それでアップデートされるみたいな感じ。
みんながアップデートすることを目標にしているという状態で、
そのアップデートに対して、
マルウェアみたいなのが仕込まれたりとかするみたいな、
そういうことがもし仮にできたんだとしたら、
結構危なすぎるなっていう、
全員がそこを目指してアップデートしたら、
それアップデートした瞬間終わるみたいな、
そういう世界線もあるよね。
普通1週間ぐらい見ましょうみたいなのを前提として、
アップデートって行われるわけじゃないですか。
1週間ぐらいアップデートされたら、
1週間ぐらい様子見て何もないよねって確認してから、
自分たちアップデートしようみたいな感じのを、
うちも一応そういうふうにやってるけど、
じゃなくて世界中のみんながアップデートされた瞬間、
その時にできるだけ同時刻になるぐらいのタイミングで、
アップデートしようって思ってるタイミングって、
なかなか経由だなと思って。
狙いどきすぎないかって。
今山ちゃんが言ってたのは、
まさにサプライチェーン攻撃っていう名前もついてる攻撃手法で、
その依存関係のあるシステム、
今回バージョンアップしたいっていうシステムに対して、
実はマルウェア仕込んでいてとかっていうのが起きることによって、
アップデートかけた瞬間全員死ぬみたいな、
そういうのは確かに攻撃手法としてあるんですけど、
今回に関しては、やっぱりPHPの本体がパッチを作って公開していて、
そこのPHPの公式が配布しているサイトに対して、
全員が基本的にはアクセスしてアップデートするっていうところと、
あとあれなんですよね、
こういうアップデートに関しては、
中身が改ざんされていないかっていう検証するための仕組みもあって、
そこ側を使う、その仕組みがあるからこそ、
基本的には安全にアップデートできるはずっていうところがあるんですよね。
なるほど、じゃあどっちかというと、
サプライチェーン攻撃的なのっていうのは、
いわゆる野良とは言わないけど、
野良エンジニアがプレリック投げてマージされました、
みたいなときのライブラリとかそういうのの方であり得る攻撃手法というか。
要は公式がGitHub上にそのプログラムを公開していると、
例えば管理している人のアカウントを盗んで、
書き換えて配布しちゃうとかっていうので問題が起きているのであって、
そういうことね。
PHP本体がちゃんと保証して、
これが正しいプログラムですよって配布している限りは、
その経路で、例えば通信経路を乗っ取られましたとかだったらあれですけど、
基本的には大丈夫だけど、
ただ全員一斉アップデートをすることによって、
やっぱりその集中、トラフィックが集中するので、
やっぱりあれなんですね、PHPのサイト、
昨日の21日の23時に修正パッチ公開された直後、
PHPのサイトダウンしてたりしていて、
やっぱりかなり全世界が一斉にアップデートをかけることによる
トラフィックの集中っていうのは起きていたみたいなんですけど、
どうやらですね、その辺もミラーサーバーっていって、
ダウンロードするサーバーをいくつか点在させたりして、
うまく落ちないような取り組みというか、
努力、ちなみに涙ぐましい努力をしていたようだっていうのも、
なるほど。
そうですね、そういうXとか見てて観測されてたんで、
ああそうなんだみたいに見てましたね。
なるほど。
Docker・レンタルサーバーの対応差
うちの場合はララベルを使ったサイトであったり、
あとは開発先の企業とかだとワードプレス上のリニューアル仕様みたいなタイミングで
そういうのがあったと思うんですけど、
例えばララベルはDockerでPHPのバージョンが配布されないとか、
例えばXサーバーとかそういうのだと、
Xサーバー側が対応してくれないとみたいなとか、
お名前はまだ対応してくれてないみたいな、
そういういろんなあれがあったと思うんですけど、
それはサーバーとしてPHPの新しいバージョンが使えるように対応してくれたかどうかみたいな話ってことになるんですか?
サーバーの構成によって変わるんだけど、
要するに単純にパソコンが用意されていて、
僕たちがPHPのバージョンをダウンロードしてきて動かすっていうスタイルと、
サーバーとPHPが2個1で用意されていて、
そこにシステムを相乗りするっていうパターンがあって、
なるほど。
僕らが割と本気でユーザー向けのサービス開発してる時っていうのは、
サーバーだけが用意されていて、
僕たちはPHPをダウンロードして本気を用意して配信するっていう方式なんですよ。
それがDockerを使ってるのかどうかみたいなのを含めてって。
そうだね、Dockerコンテナっていうのでコンテナサービスで配信するって方法とか、
あとはEC2って言って、それこそサーバーだけを借りていて、
自前でパソコンカタカタしてダウンロードしてきて、
セットアップして配信みたいなことをやったりもするっていうのが基本ですね。
で、もう一個が2個1になってる話で、
それはレンタルサーバーとかで多い構成なんですよ。
あー、なるほどね。
サーバーとか、さくらのレンサーバーとか、
このおはー、お名前ドットコムとか、
ああいうのはだいたい2個1になってるんですけど、
あれはそっち側のレンタルサーバーを運営している事業者が
頑張ってアップデートしてくれないとどうにもならないんですよね。
なるほど。
あー、それではXサーバーは対応された、
お名前はまだしてくれてないからあげれないとかっていう、
そういう問題、問題というか、みたいになってるってことか。
なってましたね。
なるほどね、なるほどね。
でもなんかあれでしたよ。
23時に一斉公開ですって言ってPHPは公開されました。
ただ、PHP公開された後に、
実際に僕らがそのシステムとして使うには、
僕らはドッカーコンテナっていうのを使って、
ドッカーを使ってるので、
ドッカーを打ってPHPを動かすための、
まあこれもすごい専門的な話になってしまうんですけど、
イメージが配信されないと、
僕らはそのPHPの配信をゲットできないんですよ。
はいはいはい。
けど、そのイメージの配信がされるまでに、
2時間くらいかかったんですよ。
じゃあ実際1時くらいとかだったってことか。
そう、ようやく使えるようになったのは1時くらいで、
それまではなんかその、
要はPHPの本家の配信できました。
で、ドッカーで配信するための組織が、
頑張ってそれをシステムとして動くかって検証して、
みんなでこう、問題ないかって、
あとはCICDっていって、
テストを回して、
ようやく配信になるっていうのは、
しかも2段階挟まる。
言ってたよね。
これマージされたらいけるよって言ってて、
俺がそれマージされたの確認して、
これマージされたみたいだよって言ったら、
あ、もう1段階あったみたいなね。
それがしかもリアルタイムで公開されてるので、
僕らはもう、
ずっと手に合わせて握るような感じで、
観戦してるんですよ。
アップデート早く来い!早く来い!みたいな。
だから23時からずっと張り付いて、
いつになったらダウンロード来るんだ!みたいなのを、
ずっとやってたわけですよ。
はいはいはい。
ようやく来たので、
急いで自分のシステムのバージョンを変更して、
ダウンロードできるような状態にして、
配信にすることによって、
いったん自分のシステムは、
1時くらいですかね。
でももうちょっとかかったかな。
だいたい何やかんや3時くらいになったんですよね。
リリースしてひとまず何か事なきを得た。
はいはいはい。
それも3時くらいでしたね。
停止か無停止か、現場の判断
1回サイト停止してるところと、
サイト停止しない判断をしたところとって、
2分岐するかなって。
それって何の違いというか、
推測でしかないと思うけど。
結構今回の脆弱性によって、
サイト停止の判断を取った企業さんも多かった。
僕らも停止の判断するかどうかというところに迫られたんですけど、
前提としてPHPの公式の発表として、
絶対その修正パッチ来たら速攻で、
バージョンお願いだから上げてくれっていう話と、
ちょっと難しそうだったら、
もう完全にネットワークから遮断して隔離状態にして、
攻撃を受けないようにしてねって2つアナウンスがあったんですよ。
そもそもこれは本来だったら、
情報リークとかされてなかったら、
リリース待ってから、
すぐアップデートすればOKだよって話だったんですけど、
リークがあって結構危険だっていう話になったので、
僕らは何をどう選択して閉じるのかって話だったと思うんですけど、
未だにこの判断正しかったという悩みはありつつも、
まずリークされている情報から成立する攻撃手法っていうのが、
いくつかパターンがあって、
そのパターンを見た時に、
今僕たちがメインで運用しているようなシステムっていうのが、
それらを使っていないっていうところで、
一段階リスクが下がっている状態だったんですよ。
それに加えて、
それらの攻撃手法を受けた時に、
回避できる策っていうのが暫定的に公開されていて、
それはPHPの設定ファイルを書き換えることによって、
機能自体を停止して攻撃をさせなくしますっていうのがあって、
実際にこれ自体は迂回路も存在したので、
100%安全ではなかったんですけども、
僕らは該当しないのに加えて、
その設定も書き換えてすぐリリースするっていう対応を、
夕方ぐらいに取ったんで、
さらに一段階リスクの低減ができたっていうところ。
そしてファイアウォールをシステムの前段に設けていて、
Webアプリケーションファイオフっていうのを設けているので、
不正のトラフィックはそれで弾けるっていうところ。
あと最後、念押しで僕が上中で監視するっていう対策を。
なるほど。最後は人力。
そうそう。
なんでそうしたかって言って、やっぱり止めるは止めるで、
やっぱり全体にアナウンスをしたりとか、
挑戦っていうのも必要になるっていうところがあったので、
願わけば停止しない方がいいな、したくないなっていうところもあったので、
それらの対策を持って、
そのサービスだけは無停止で行く判断を取ったんですよ。
けど他はね、例えばうちのコーポレートサイトとかって、
今もまだ停止中で、
一旦上げるまでは停止しとこうっていう判断をしていたりとか、
リニューアル中、ちょうどリニューアルを開発していた他社さんのサイトとか、
旧サイトはもう完全に閉じて、
この後実際に新サイトをできるだけ急いで公開するようにするのか、
旧サイトをバージョンアップデートしてどうにかするのか、
みたいな相談をすることになると思うんですけど、
そういう判断もあったりとか、
結構センサー版別なところはあるとは。
結局これはもう、
例えばワードプレスとかだと、
どこに穴があるか正直わからないシステムでは、
正直あるっちゃある。
ワードプレス自体がすごい脆弱性の多いシステムかって言われると、
どっちかっていうと運用者側の問題だったりすることも多いので、
一概に悪くは言えないんですけど、
とはいえ、
例えば他社さんのものを引き受けてたりすると、
途中から案件として受ける場合も多いので、
やっぱりどこまで安全かどうかって、
確かめるのに時間がかかるんですよね。
私が動かすって判断したものは、
私は基本的に管理してるので、
大丈夫かなっていうところの判断がつくんだけど、
それ以外はリスクがやや残るみたいなところもあるので、
しかも最後僕が監視するって言っても、
全部見てられないっていうところもありましたので、
やっぱりそこは思い切って遮断するっていう対応を、
一律でとっていくような形にしましたね。
なるほど。
いやー、なかなか、
普段見てるサイトとかでも止まってたりとかしてたから、
やっぱり結構、
しかも普段ITに関心がない人でも話題に上げてたりとか。
高市さんがね、Xで、
ああ、まあそれもね。
今日アップデートしてくださいみたいな呼びかけしていたり、
あと僕の奥さんとかも、
ニュース見て、これってそうなんだみたいなとか。
そういう話になってたから、
もうやっぱ全世界、
あとなんかあれですよね、
メンバーの人が言ってたんですけど、
テレビのニュースにめっちゃ取り上げられてたみたいですね。
ああ、うんうん。
なんかね、すごいよね。
なんで、
普段ジジネタに疎い我々が、
ジジネタっぽいことを配信するという。
たまたまみたいな感じ。
そう、たまたま。
ワールドカップとかすら、
ワールドカップやってたんだみたいなくらい。
終わってから気づけみたいなね。
みたいな感じなのにっていう。
結構最近本当にセキュリティ、
いや、なんかこれでというか、
やっぱなんかこう、
知り合いとかでね、
AI使って開発して、
結構こういうのできてみたいな言ってる人も。
僕自身は色々やることは肯定的なんで、
頭ごなしに否定するのはちょっと違う。
ポジショントークにも聞こえるしね、ワンチャン。
危ないから素人が使っちゃダメだよねみたいなね、
システム使っちゃダメだよねみたいな。
それはなんかちょっと違うかなって思って、
っていうのは普段色々考えることはあるけれども、
やっぱなんかその一定のITの
セキュリティ・リテラシーみたいなところの
啓蒙というか、
なんかこのポッドキャストでも
なんかしていった方がいいんだなっていうのはちょっと。
いつもやっぱこう、
AI駆動開発前提でさ、
いけいけどんどんみたいな感じで話してるけど、
とはいえなんかうちの会社とかって結構、
前提のガードレールというか
安全網的なところを考えた上で
その中でどういう風にするのかみたいな。
相談しきった上でやってるみたいなのが
あるじゃないですか。
このAI駆動開発部の日常を聞いて、
AIでガンガンいけんじゃんって思った結果、
なんかその
ヤバいことのところに足突っ込んでるみたいなことも
ちょっとなんかさっき
なんかまぁ
みたいなのもあるなぁみたいなのが
ちょっと感じたよね。
まぁある意味。
いやぁ本当に
祭りみたいでしたね。
いやぁ祭りでしたね。
まぁちょっと
まだまだ終わってないけど。
まだ終わってないし結構。
そう。
そうだね。
いやぁなんか
Xサーバーとか
さくらサーバーとか結構
まぁその修正パッチが入ってから
明け方ぐらいに
あの更新システムの更新完了しましたって言って
いやぁなんか
やっぱ現場の人たち頑張ったんだなぁって気持ちあるんですけど
お名前.comのレンタルサーバー
未だにバージョンアップしてなくて
もうこれ何してんだよって
不安を
不安をばらさないでください。
公開のため。
いえいえ。
いやぁもう
ねぇ
思うけど
まぁでも本当にね
でもなんかねぇ
これ面白いなぁと思ったのが
あの
やっぱりねぇ
このPHPのパッチ
公開されてから
世界中で攻撃が加速してるらしくて
あ、そうなんだ。
PHPの脆弱性のリークがあった頃は
クラウドフレアの好評値で
全体として
ネットワーク全体として
数千件ぐらいの攻撃がありそうだなぁ
みたいな検知してて
それが
発表を45分後ぐらいに
一気に数万件に上がって
数十万枚ってこと?
数十倍か
数十倍ってことか
数十倍になって
で、2時間以内には
数十万件
で
今時点ぐらいではもう
数百万件以上攻撃がずっともう
ひっきりなしに発生しているっていうのを
クラウドフレアは
ネットワーク全体監視する
機能を整えていて
あとはWAF
ファイヤーボールを
提供していて
今回のそのPHPの
問題に対しても
防御をしてくれる
WAFを無料提供してくれるとか
結構そういう
ネットワーク全体に対して
防御策を取っていて
その中で
数百万件ぐらい今起きてるけど
ヤバいぞみたいな
感じの防御をしていて
やっぱりなんか防御してないと
これだから今回のPHPのバージョンアップについて
気づいてないと
結構リスキーな状態が続くんじゃないかな
っていうのはありますよね
ヤバいね
うちもね
関係者
過去関わった人とかで
思い当たる人には
とりあえず連絡しとくか
みたいな
じゃあサイト閉じる
閉じてもらっていいですか
みたいな話になったり
なったりとか
あったけど
ヤバいね
本当に
影響がはかりしないですね
古いPHPとサポート切れの問題
しかもバージョンアップしなきゃいけない
っていうのがまた
辛いところで
それね
辛いところですよね
古すぎるともう
使ってるプラグインの
互換性がありません
みたいな話とかあったりとか
あとはもうPHPのバージョンが
言語のサポートって基本的に
なんか2,3年ぐらい
これiPhoneとかのバージョンアップとかも
そうだと思うんですけど
なんか
2,3個メジャーアップデートとか
あとは数年
アップデートしたら
もうそれ以降
以下のものって言うんですかね
それより古いものはもう一切
セキュリティの問題があっても
サポートしません
っていうのは基本的なんですけど
今回支援させてもらってるような
会社さんとかも
古いサポートされていないPHPで
システム動かしていたりして
もうこれ立ち上げられないじゃん
みたいなね
けどある意味
うちでリニューアル受けててさ
なんか1回さ
判断があったわけじゃん
古いままでいくのか
まさか新しいのでやりましょうか
みたいな判断があって
うちが一応
新しい方でやった方が
いいと思ってます
みたいなことを言ってさ
実際今新しいバージョンで
新規開発してて
結局その旧サイトの方は
古すぎても今回の対応
もちろんやろうと思ったらできるんだけど
みたいになってたから
サイト停止は今してる状態ではあるものの
不幸中の幸いというか
新しいバージョンで一応開発は進んでて
もうそろそろ公開できる
みたいな状態であるっていうのは
ある種タイミングの
運ゲーみたいな感じになってるよね
たまたまそこはね
本当に良かったって感じだけど
割と見てると
ほとんどのシステムが
バージョンアップしないで放置されてるところが
やっぱ多くて
バージョンアップって意外とね
見過ごされがちよね
上場企業さんとかの支援入った時とかも
結局
何年前だろ
4年前とかのバージョン
とっくのとうにサポート切れてて
ダウンロードすらできないような
バージョン使ってるみたいなことがあって
上げるともう
上げる取り組みしてるけど
それも1年2年単位で
ちょっとずつ上げるしかできないみたいな
そういう状況になってきてる
本当に
俺も何か数年前
結構大きい上場してるような企業さんの
PMとして入ってくるところがあって
そこが
古くて
その時に話の中で
ちょっと古すぎるから上げた方がいいみたいな
提案をして
向こうも
基本的には
そうと分かったら
お金はかけようと思う会社さんが多いじゃないですか
お金かけてでも最新アップデートして
セキュリティ意識も高いから
やっぱ影響範囲がでかい
あん時そういう提案しなかったら
どうなってたんだろうな
みたいな気持ちになるよね
同じくPHP使ってる
はいはいはい
パニックですよねそれはもう
本当に
なんか
補修管理費みたいなところ
どれくらいいただくか
みたいなところ
なんかあるけど
今回のこととかあると
ある程度もらって
いただいておいて
そういうのも含めて
げっちり対応していくっていう判断をする
みたいな企業さんによっては
そういうのは
ある程度擦り合わせによって
やっぱあり得るんだな
っていうのはちょっとこう
もったいない
攻撃の急増とAIによる防御
今回は
特に多分これから
これから攻撃が多分どんどん増えていくから
森側も
AI駆動開発を
今エンジニアはみんな
AI使って開発してる
っていう前提はあるものの
企業単位で
最近ソフトウェアファクトリー
みたいな言われ方とかしてるけど
組織として
AI駆動
組織開発的な感じで
本当に
高密度な開発をしていく
みたいなことを実践する
っていうのは結構多分難易度が高くて
けど攻撃側が
こんだけ活発になると
守りとしても
そういう手法を取らざるを得ない
というか
っていうのも
ちょっと考えさせられるような
事件というか
って感じだなっていうのは感じましたね
攻撃面がバンバン増えていってるのに
人の手で頑張ってても
それはもう負けるよねみたいな
確かに
実際に
僕たちも攻撃とか
今回の脆弱性の対応とかも
正直
全部の会社さんとか
全部管理してるシステムを
短時間で上げ切るのって
本当に難しかったんですけど
やっぱりそこはAI使って
インフラに対して
事前調査してもらったりとか
そういう活用を
したことによって
1日ぐらいで
迅速に対応できたりとか
あとは本当に
サービス停止しなきゃいけないよねって
判断取れたりとかもしたんで
全体の組織的にも
その動きできないと
だいぶつらいというか
実際に他の
Xとか見てると
バージョンアップできないから
サービス終了ですっていう
告知してる
本当に
なんか
この体制
自体がかなり
命運を分けることにもなり得る
時代になってる
やばいね本当に
しかも機能に関しては
PHPだけじゃないですからね
かなり大きな
ノードJSとかGOJSの
セキュリティパッチャって
それの発端になってるのが
証明局っていう
ウェブサイトにアクセスするときの
信頼性を担保するための
そこがうっかりしちゃったっていうので
お漏らし事件があって
それによって
結構いろんなところで影響が起きたみたいなので
セキュリティパッチが各言語で
配布されたとか
地獄絵図やったよね
そうそう
あっちでもやばいぞ
こっちでもやばいぞみたいな
話になってて
それに対してちょっと
いろいろ調べた結果
このパッチは一旦当てなくても
他の対応しなきゃ
みたいな判断を取ったりとか
そういうのが一緒にサミライに出てたんで
しかも
AIによって攻撃が加速してるし
見つかることも増えたと思うし
見つかってからの攻撃も
できるようになったっていうのもあって
多分年内どんどん盛り上がるだろうなって
やばいねこれはマジで
本当に
すごい
大海賊時代の幕開けみたいな
そうそうそうそう
そんな気がしますよ
最近情報漏洩も
すごいですし
いろんな会社さんが
確実に
セキュリティ管理の
考え方もあり方も
僕らも
会社だけじゃなくて
個人レベルでも大きく変わっていきそうな
気がする年ですよね
やばいですよね
本当に
そんな感じで
我々もね
ここで
話してっていうところで宣伝ですが
システム開発とか
普段やってるので
ぜひね
最近だと例えば
上場企業さんの
正規書管理とかシフト管理みたいなの
作ったりとかもそうだし
あとは
建設業の方の
設計図から
見積もりを
建設とか現場とかの
設計図ってすごい細かいんですけど
2,30枚とか
何だったらもっとみたいな
全部
解析して
見積もり書を出していく
仕組みを作ったりとか
そういうのもしてるっていうところも
あったり
ウェブサイトの制作とか
オンドメディアの制作とか
そういうこともやってるんで
ぜひ
お問い合わせください
って言ってるけど
お問い合わせ先がないかもしれないっていう
どこに置いてんのって感じですけど
コメントにでも
興味ありますって
言ってくれたら
興味ある人がいるって分かったら
設置するかもしれません
っていう感じですね
じゃあそうだな
セキュリティ意識とかは
後日話すことにしましょうかね
時間なんか結構な時間にも
なりましたし
あとなんかノーズエースの話とか
その辺も詳しくまた
話聞けるといいかな
と思いますので
今日は一旦これにできれば
と思います
ありがとうございました
ありがとうございました
本日もAI駆動開発部の
事情をお聞きいただきありがとうございました
いかがでしたでしょうか
今回はですねちょっといつもと
毛色が変わって
セキュリティの
脆弱性が今回
PHPで出たっていうことで
それについて解説を
してもらうというような会になりました
普段はですね
AI使ってどういうふうに開発するのが
効率的なんだっけみたいなとか
あとは
そうですね
最新のモデル試してみてどうか
みたいな話とか
AIで駆動して開発するにはどういうふうに
開発するんだみたいな話が
メインなんですけれどもこういうセキュリティの話とか
あと前回だとクラウドフレアって
仕組み何がすごいのみたいな話とか
AI駆動開発する上で
セットになる話かなと思うので
そういう話も今後
広げていけたらなというふうに
思っておりますのでこのPodcast
気に入ってくれた方はいいねやフォロー高評価
ぜひお願いいたします
それではまた次回もお楽しみください
バイバイ
