PHP脆弱性とサイト閉鎖の対応
こんにちは、ninjinkunです。 今週は、我々ソフトエンジニアにとって
かなり大きなニュース。 PHPの脆弱性というのが
大きく報道もされまして、これはPHPという
ソフトウェアのプログラミング言語とその実行ランタイムというソフトウェアに
欠陥があって、それによってPHPで作られているサイトが
何らかの任意の悪意のあるプログラムを実行できてしまう可能性があるという脆弱性が発見されて
しかもこいつがいわゆるゼロ脆弱性、すでにもう
悪用方法が発見されているけど、まだそれを修正する方法がないという状態で公開されまして
界隈に激震が走りまして、PHPというのはめちゃくちゃ人気がある言語なので
すごくいろんなところで使われていて、例えばワードプレスというブログのプラットフォームというかそのソフトウェアは
PHPで作られていて、おそらく全世界のPHPソフトウェアのかなりの部分がワードプレスだと思います
という感じで広く使われていてですね
それによって今PHPで作られたサイトがいきなり任意のスクリプト実行可能になってしまうと
そうするといろんな可能性が考えられて、まずはサイトに侵入されて情報を抜かれてしまうというのもありますし
あと別で嫌なケースとしては他のサイトに悪意のある行為をするための踏み台になるとかね
そういういろいろ悪用する方法が出てきてしまうので非常に困ると
はい、これが今週の水曜のお昼ぐらいに発覚して
その前からかな、その午前中ぐらいに発覚したのかな
そこから結構いろんなちゃんとしたセキュリティに詳しいブログとかが警告を押し出して
これはヤバいという感じになりまして
その結果いくつかPHPで書かれたサイトがちゃんと修正が入るまではサイトを閉じますというね
決断をするというのもあって、特に子どもっていう、あるいはお子さんとかの
何ですかね、GPSトラッカーとかじゃなかったかな
私はちょっとユーザーじゃないんでわからないんですけど、保育園とかで導入されているらしいですが
特にそのソフトウェアを作っているところが早かったんですけど
そこはもうお昼の時点で閉じてましたね
多分、お子さんの行動情報とかそういうのがかなりセンシティブな情報があって
漏えいすると一大事ということで閉じたと思うんですけど
そういうのがありまして、いくつかのサイトは閉じる判断をしたという感じで
しかも夜には確か高市首相がXで、この修正を適用してくださいとか
サイトを閉じるというのも選択肢の一つですとかそういうことをアナウンスして
それで結構ことの重大さが割といろんなところに伝わったのかなという感じもしますね
修正反映を待つエンジニアたち
で、私もですね、これにある程度巻き込まれまして
ちょっと詳細はぼかしますが
PHPの更新が降ってくるまでちょっと時間があって
夜の11時半ぐらいに降ってきたかな
はい、11時半じゃないかな、11時ぐらいかな
11時前ぐらいには降ってきたんですけど
そこから我々が使っているDockerイメージというね
そのさらにPHPを使っていろいろサーバーで実行可能な形式にしてある形式に
落ちてくるのにだいぶ時間がかかって
結局全部済んだのは夜中の3時ぐらいだったと思いますね
それまで特に何もできないんでやきもきして待ってたんですけど
そのあれですね、PHPの修正を適用してここに反映していくよっていう
そういうソフトウェアをいろいろ管理しているGitHubのリポジトリがあるんですけど
そこのプルリクエストを見ているとですね
どうやらここで作業しているらしいというのが分かると人がわーって寄ってきて
プルリクエストってコメントがつけられるんですけど
コメント欄というのは普通は議論をするためにあるので
そんなに大量の人は来ないんですが
そこは500件ぐらいコメントがついてて
しかも別に建設的なコメントというよりは
頑張れとか俺は待ってるぞとかそういうとか早くしろとかね
ポジティブなものからネガティブなものまでコメントがバンバンついて
みんないろんなmemeのGIFとか好き勝手なものを貼って
とりあえずお祭りですね
私は別に投稿はしなかったんですけど
そういう祭りの状態っていうのは久しぶりに見たんで
世界中のエンジニアがそこに集まっている感じがして
その祭りの雰囲気自体は結構ことは重大なんですけど
雰囲気は結構面白かったですね
いやーしかしそんな感じで何とか対応を終えて
おそらく大丈夫だったであろうと
しかも今回そんなに悪用された事例が出てこなかったっぽいので
結果的には何とかいろんな人が努力して
何とかなったんじゃないかなという
あとはもしくはその脆弱性自体が
実はそこまで悪用が難しかったものかもしれないし
いろんな余裕もあると思いますけど
そういうことがあったよと
結果的に私も巻き込まれて
AI時代の脆弱性と防御
何とかインターネットの安全を守るために
ちょっとやって頑張りましたという感じだったんですが
こういうことは今後もバンバン起こるだろうという
予想がされていて
やっぱり何せをAIですよね
このPHPというのもかなり古くからある言語で
しかもこの脆弱性は
PHP5.4以降の全てのランタイムに影響があると言ってたんで
5.4って相当10年前ぐらいのものじゃないかなと思うので
もっと前かも
だから相当長い間放置されていたというか
発見されなかった脆弱性が
どうもオープンAIとかの調査チームによって発見されて
それがちゃんとPHPの開発元に伝わって
対応していたところだったらしいんですが
その情報が早く漏れてしまって
いろいろ言われてるんですけど
この人が漏らしたっぽいとか
そこはあんま触れないんですが
結果的に修正が入る前にニュースが伝わって
ゼロデイになってしまったと
やっぱりAIの進歩によってこういう脆弱性は
今後もどんどん発見されると思いますし
そこからさらにそれこそゼロデイで発見された場合は
その脆弱性を使ってこんなことができるという
そういう今回も何人かの研究者が
そこでPOCプロフォーコンセプトを作って
こんなにことができますということを示してしまったんで
それもすぐ削除されたりしたんですけど
さすがに攻撃側にわざわざ有利な情報を与えるっていうのは
批判が集まったと思うんですけど
それぐらいこんな脆弱性があるよってなると
すぐにAIを使って
じゃあこんなことに使えますという
悪用方法がバッと瞬時にできてしまうという時代なんで
おそらくこれが全然最終最後ではなく
むしろ始まりではないかと言われているんで
ソフトエンジニアの端倉としては
今後も戦線共闘としていくのかなと思いますね
今回は大した被害がどうも出なかったっぽいですが
今後何らかまた不具合とか脆弱性が発見されて
大事な情報が流出したりとか
何らかの意図しない攻撃が行われたりとか
そういうことが出るっていうのは
おそらく確実だろうと思うので
私も何とかできる範囲では努力しますけど
これにどう業界として対抗していくのかっていうのは
結構何ですかね
今後注目かなと思いますね
サーバーレスによる設計上の対策
私の本業の方でも最近そういうAIを使って
逆にそのセキュリティの防御を行うっていう事業が立ち上がって
そっちはかなりニーズが出てるようなので
おそらく守る側もAIを使って
防御していくような方向になるのかなとは思います
あとは例えばウェブサービスを作るときに
こういう脆弱性が出づらいような作り方をするっていうのは
一つ手ではあって
今回で言うとPHPが直接走っているサーバーが危なかったとなると
何らかのプログラムをどこかで走らせないと
ウェブアプリケーションでは動かないですけど
例えばいわゆるサーバーレス構成っていうのにして
そのランタイムは動いてるんだけど
それが例えばユーザーのリクエストがあったら
一瞬ピャッと立ち上がってすぐピャッと
なんですかね
エンジンエゴでは死ぬって言うんですけど
すぐに切れると
こういう構成にしてあるとおそらく
サーバーレスの機能を提供しているベンダーは
ランタイムのアップデートを適用しやすいと思うので
こういう構成のウェブサービスは
たぶん勝手に脆弱性があっても
そのベンダー側が素早く修正を適用すれば
迅速に脆弱性が修正できることになると思うので
エンジニアの負荷は少し減るのかなとかね
今後のサイトとかウェブサービスの設計も
どう変わっていくのかっていうのは注目かなと思いますね
そらくそこで売り文句として
うちのこのいろんなスタックを使えば
脆弱性にすぐ対応できますとか
被害が出づらいですとか
そういうのも今後売り文句になっていくのかなと思いますね
ニュースになったPHP脆弱性
しかしPHPの脆弱性っていうのが
すごく本当にニュースになって
テレビとかでも流れたらしくて
私も会社に行こうと思ったら
会社の正面にLEDパネルのディスプレイがあるんですけど
そこにニュースが流れてるんですが
そこに大きくPHPの脆弱性って出てきて
ちょっと思わず吹き出しそうになりましたね
はい面白いというかびっくりして
マジかみたいな
という感じで今週はなかなかやばい1週間でございました
はい今後もいろんなウェブサービスとか
インターネットの安全を守る方向に
頑張って倒していくためにも
情報収集とかできることをやっていこうかなと思います
はい私は全くこの辺は専門家じゃないんで
専門的なことが知りたかったら誰かに聞いてください
それではありがとうございました
