00:01
おはようございます、かっぱです。
2026年10月22日、木曜日の夕方です。
まあ夕方と言いつつも真っ暗ですけどね。
1個目の話。やあ、昨日の夜から大騒ぎですね。
最近は、情報輸出祭りが続いていましたが、まさかのPHPの巨大脆弱性。
あまりちゃんと把握できてはいないんですが、
おそらく任意のコードが実行できるレベルのやばい奴。
つまり、PHPというプログラミング言語が動いているサーバーにうまく攻撃をぶち込むと、
そのコンピューターでできる操作が全部できちゃうと。
本来できちゃいけないことができるので、いろんなものが漏れてしまうリスクがでかいと。
本来、そういう脆弱性、攻撃すると何かやばいことができてしまうという情報は、
慎重に、つまり攻撃者にばれないように取り扱って、
その脆弱性があるソフトウェアの開発者に通知が行き、それを直しますと。
直して、修正版がみんな出回ってから実はこういうのでしたみたいな。
ちょっと違う。ちょっと言い方が雑かな。
そんな感じで、攻撃者に脆弱性を伝えないようにするというのが通常行われていた運用なんですね。
特にPHPというプログラミング言語は、その上で動いているワードプレスというソフトウェアですね。
これはブログで有名なんですけれども、
コンテンツマネジメントシステム、つまり動的にコンテンツ、何らか表示したい情報をプログラミングをすることなく、
管理画面から作成することができるので、
何か自分たちが表示したい情報を管理画面のようなものから更新することで、
ページを作ることがすごく簡単にできるので、ものすごい幅広く使われていました。
一説によると、世界のウェブサイトの5割から7割はワードプレスというソフトウェアで作られているという調査もあるんですね。
つまり世界の5割から7割に本当にやばい脆弱性。
うまく攻撃が成功すると、そのコンピューターの操作を全部乗っ取られてしまうみたいなのがあると。
03:06
本当に激ヤバなんですけれども、さらにヤバいのが、AI時代ですよと。
その脆弱性を塞ぐために、PHPというプログラミング言語はこういう対策をしましたよという対策が分かると、
つまり、なぜ今までそこが脆弱だったということが答え合わせになっちゃうんですね。
ここをこう直したということは、直していない奴はこう攻撃すると乗っ取れるみたいなことが分かってしまうと。
以前はそれを人間がやっていたので、まあまあ1日ぐらい時間かかるだろうという雑な理解なんですけれども、
もう既にゼロデイアタックと言われていた。つまりこういう脆弱性があって、こう直しました。
そうすると人間が超頑張って返してきて、その日のうちに攻撃を開始する。
ゼロデイアタックみたいなことを言われていたんですけれども、今それをAIにやらせるんですね。
だからとある機関の予想でいうと、脆弱性を修正したバージョンが公開される。
つまり過去脆弱性があったものとの差分が分かると、15分以内に大規模攻撃が始まるであろうと。
そういう予測を出していたんですね。うわこえ。
ということでPHPというプログラミング言語を使ってウェブサービスを提供していた会社のきなみ大騒ぎ。
つまりボーッとしとくと攻撃されちゃうわけです。
すごいパニックだったようですね。
それはそうですね、ボーッとしていると自分のところのサーバーを乗っ取られてしまうリスクがある。
自分のところのサーバーでは顧客からいただいたデータ、個人情報を含むデータを蓄積してサービスを提供している。
それをビジネスにしている。
そんなところが脆弱性があります、ほったらかしていました、乗っ取られましたと許されないので各所大騒ぎだったというのが観測されています。
本当に恐ろしいことに大騒ぎして一時的にサービスを止めてメンテナンスといって
蓄積サービスを止めて脆弱性に対しての対策が全部終わったらまた再開しますよということをしているところはまだちゃんとやっている方で。
06:02
というのはさっきお話ししたワードプレスってちょっとしたウェブサイトを作るのに超便利なんですね。
こういうウェブサイトを作りたいんです、わかりました、ちょちょっと作る、そういう業者がたくさんいるわけですよ。
ところがそういう業者ってわかりました、ちょちょっと作った後どうするかみたいなそういう話、具体的には保守契約って言うんですけど、そんなものを結ぶことはあんまりないわけですね。
つまり僕は言われたことをワードプレスというソフトウェア上で日付にしました。
あとはお客さんにもちろんよろしく。
そうするとワードプレスというソフトウェアとかあるいはそれを動かすPHPというプログラミング言語に激山の脆弱性があります。
このサイトはその業者に丸投げで作りました。
誰が責任を持って誰が直すと。
そういう地獄が日本中あるいは世界中で昨日今日と展開していたのかと思うと本当に心が痛くなります。
もちろん適当なウェブサイト作っておいてってぶん投げて業者が作りましたって受け取っているのは発注者側の怠慢なんですけれども、
それもそういう発注をせざるを得ない事情があったんだろうなみたいなことまで考えると本当に誰も悪くないが誰も彼もが悪い。
結果として実際に乗っ取られちゃうとワードプレスが動いているサーバーのデータベースとかのアクセス権利が取られちゃうとそのデータベースに入っているデータが全部奪われてしまう。
そこには何が入っているんでしょうね、住所、名前、電話番号。
今年に入ってものすごい勢いで増えてきた情報漏洩祭りがさらに加速するのは間違いないなと思うと、
そういうソフトウェア、IT、そういう業界で仕事をしてきた身としては本当に心が痛みます。
何というか、この騒ぎ、この嵐が、なんか騒いだだけで大したことはありませんでしたで終わってくれるといいなと思っているんですけども、そんなことはないんだろうな。
またとんでもないのが出てくるんだろうな。
というPHPの脆弱性でずいぶん長々としゃべってしまいましたが、何しろこれはPHP関係ないと思うんだけれども、
この最近の情報漏洩祭りの中でも一番やばいと言われているタイムズカーシェア、
あれは本人確認のために免許証の画像を送信させるんですけども、何を持ったかその画像をずっと保存していたと。
そしたらそれがランサムウェアの攻撃を受けて流出しちゃったと。
09:04
そこに僕のところにも当選おめでとうというのが来ていて、つまり僕の現役で使える運転免許証の画像がまるっと流出しているんですね。
ほんとやめてほしい。どういうこと。
ということで今日はIT界隈を大騒ぎさせているPHP2シェルという脆弱性と、
昨今起きているやばいことと、僕もやばいという話をしました。
ちょっと今攻撃で言うと攻めて側が有利すぎるんですよね、AIのおかげで。
これをひっくり返すゲームチェンジャーが出てくるのかな。
そういうのを期待しつつ、今日はおしまいです。
じゃあまたね。バイバイ。
