PHPの役割と発見された脆弱性
今週のフカボリ
今話題となっている出来事や、二人が気になっていることなどを本音で深掘る、今週のフカボリ
The PHPグループが提供するPHPについて、重大な脆弱性が発見されたと、10月21日に発表がありましたね。
そうですね。
PHPは多くのウェブサーバーや業務システムで利用されているプログラミング言語という説明は聞くんですけれども、
まだ実態がよくわからないけど、もうわかったふりしておかないといけないみたいな年齢じゃないですか。
で、ちょっと噛み砕いて、うちのデリクターが言ってくれたのが、中田さん時々後ろが黒、真っ黒で、よくドラマとかで何かあるときにプログラミングするときに、
なんかチャカチャカチャカチャカ白いやつが出てくるやつ、あれっぽいですよっていう。
でも本当にわかってるかどうかちょっとわからなかったんですよ。
ぼんやりとでしたが。
この問題に対して、高市総理もその日の夜に自身のXで異例の注意呼びかけを行ってましたね。
話題になりましたよね結構。
そしてPHPは世界のウェブサイトのおよそ7割で使用されており、さまざまな企業が対応に追われ、現在も一時停止となっているサービスもあります。
ということでね、こういった関係で聞きたいことを聞きにくくなっているときに全部素直に聞ける方はこの方です。
今日も話を伺いましょう。
ITジャーナリストの三上洋さんです。
よろしくお願いします。
よろしくお願いいたします。
すみません、よくこの番組呼んでいただいて本当にありがとうございます。
中谷さん、下田さんの時よりもめちゃくちゃにこやかで、めちゃくちゃテンションが高いんですがどうしてですか?
こんなに沈んでいるのにそう見えますか?
はい、もう全然。
普段の下田さんの時よりもすごい声が軽やかです。
なんでなんでしょうね。
私に合わせてあげてくださってるんですか?
軽やかな声で本当に軽く質問してしまいますけど、まずこのPHPというものについてできるだけ分かりやすく教えていただけませんか?
はい、もう私たち例えばウェブサイトで検索したり、物を買ったり、チケット申し込んだりするじゃないですか。
チケット申し込んだり、例えば物を買おうとすると在庫が何坪ですって表示されたりします。
あれって何かというと、こっちが入力したデータが運営しているサーバー、運営している企業のサーバーに行きます。
それを基にして在庫が何坪ありますって表示をする。
その表示を出すためのプログラムがPHPと言ってもいいんですね。
1990年代からウェブサイト、ホームページと呼ばれるもの。
これの表示はほとんどがPHPを使っていた。
今でも7割から6割程度はこのPHPというものを使ってホームページが表示されたり、ショッピングができたり、またオンラインゲームができたりということです。
じゃあもう欠かせないものという認識でいいんですか?
はい。私たちがインターネットを使ううちの6割か7割は裏側で絶対このPHPが動いています。
今回、脆弱性が発見されたということなんですけども、これはどういうところが問題なんでしょうか?
プログラムだったりソフトウェア、私たちのアプリ、これは必ず脆弱性というものが発見されるんですね。
これは外から突っつかれると、ここに穴があるから壁に穴があるので強く突っつくと中に入れてしまうという弱点なんですね。
その弱点が2か所見つかりました。しかもかなり深刻なもので、この穴を突っつくと乗っ取っちゃうことができる。
例えばホームページのデータを消すとか、ショッピングサイトのデータを抜いちゃうとか、そんなことまでできちゃう非常に大元に関わる弱点だったんですね。
それが見つかったので直しましょうと。高市首相はすごい頑張りました。
夜中にこれまずいからってみんな警戒してくださいと注意喚起で直しましょうということを言ったんですね。
もう一つ今回高市首相が称賛されていることがあります。
それは対応ができなければサービスやホームページを止めてくださいって言ったんですよ。
止めちゃってもいいですよって実は首相が言うことで、現場としてはすごいありがたいんですね。
どういうことかというと、インターネットって24時間365日動いてるわけですよ。
なので現場のインターネットの人、セキュリティの人は止めちゃいけないっていうのが企業の市場命令です。
でも今回こういうトラブルがあるから止めたいと言っても経営はOKしないわけですよ。
なんでお前そんなことでうちの業務を止めるんだ。
そういう時に高市首相が言えば、上を説得できるし、上もうちは大丈夫かうちも止めるかってなるんですね。
なんで首相があそこまで踏み込んで、このPHP脆弱性とめちゃくちゃ難しそうな話だけども、
すごい危険だから止めてねって言ったのはすごい英断だったと思います。
レンタルサーバーとWordPress利用者の確認点
まあ大きな企業はそうでしょうけど、三上さんご存じのように私のような霊災企業、劇団とかのホームページとかはレンタルサーバーをお借りしてるじゃないですか。
そういう場合とかっていうのはレンタルサーバー、お名前言っていいのかな、お名前.comさんとか使ってるんですけど、
そういうところから一応はそのホームページをたどるとこういう対応がしてます。
あなた方の方はそのままで大丈夫です、みたいなことが出てましたけど、それで大丈夫なんでしょうか。
はい、このレンタルサーバーで何をどう動かしてるかによるですね、
例えば一番多いそういった団体、劇団さんのウェブサイトとか、それからブログとか、
だいたいですね、ワードプレスっていうブログなんかを簡単に構築できるツールで運営されてます。
このワードプレスっていうツール自体の裏側がPHPなんです。
ですので、このPHPが動いてるのがどこで、何のバージョンかっていうことをチェックする必要があって、
大元のサーバーがこのPHPのバージョンを管理している場合もあれば、
ワードプレスを管理している会社が管理しているPHPのバージョンを管理している場合もあります。
なのでそれはね、場合によるんですね。問い合わせていただくのが一番だと思いますからね。
はあ、だったら何も動かないってのは良くないんですね。
はい、自分で確かめることが重要ですね。もしウェブサイト、ホームページを運営されているのであれば。
ただ、一般の方がホームページを構築してます、ワードプレスを使っていますって場合は、
多くの場合はサーバー側、もしくはワードプレスを貸している側がPHPを管理してますので、バージョンアップしているはずです。
わかりました。で、ここまでで何か大きな問題っていうのは出てきてるんですか?
ないです。今のところね、私の知る限り、報道で出ている限りはですね、
これとはっきり分かるものはないので、今のところ良かったなという感じですね。
情報漏洩後の二次被害と個人の対策
この今情報漏洩の問題があるじゃないですか、それとこれは別っていう風に考えていいんですか?
全く別の話でございます。こういう話が偶然にここでタイミングとして出てきたので、
まあ似た何か関連がありそうに思いますがないんですね。
じゃあこのPHP問題については今のところは三上さんでさえ大きな問題とは聞いていない。
だけどこの情報漏洩についての我々の今後の対策というか、我々個人ができることとかっていうのは何かあるんですかね?
実はですね、このPHPのことについても、そして全く関係ないと申し上げたこの1ヶ月多発していた情報漏洩についてもですね、
個人は何もできないっていうのがポイントなんです。
漏洩しちゃったものは取り戻せないし、漏洩後に起きたトラブルも止めようがない。
我々はインターネット上に放たれた我々のデータを取り返すことができないんですね。
なので厄介だっていうことが大事です。
ただ二次被害を防ぐという意味で詐欺メールとか詐欺の電話がかかってくる。
しかも名指しでくる可能性があるんですね。
例えば焼肉なんちゃらなんちゃらです。この度は漏洩して申し訳ありませんでした。
お詫びに2000ポイントの焼肉チケットをお送りしますのでここをクリックしてください。
それは確かにちょっと名前を載せてこられると押してしまいそうになりますよね。
さっき焼肉来たいって言ってたしね。
ちょうど焼肉食べたかったですし。ポイントもらえるとなるとね。
そうなんですね。困ったもんですけれども。
これはどうなんですか。
AIによる脆弱性発見競争
ちょっと聞いたのが、この話戻してPHPの脆弱性についてはAIが発見したみたいな話を聞きましたけど、
そしたら今後もどんどんAIがそんなものを発見していく可能性はあるんですか。
そうなんです。実は今年の春過ぎ、夏前にですね。
AIが性能を競う一つの手立てとして、いろいろな企業やいろいろなプログラム、いろいろなアプリの弱点を見つけます。
すごい弱点を見つけるので、皆さんそれ注意してくださいねって言い始めたんですよ。
そのうちの一つがアンソロピックのMUTOSというやつです。
これはあまりに弱点をたくさん見つけるので公開中止にしますという風に言った。
一部の企業、一部の重要な団体のみに使わせますよって、
その時に高橋市長が、それは我が国の重要産業及びメガバンクについても使わせて欲しいということをちゃんとアナウンスするなど問題になったんです。
あれはつまり弱点を見つける性能がめちゃくちゃ高いから。
でも他社は黙っていませんね。アンソロピックがそんなことできるんだったらうちだってできるよ、うちだってできるよって。
この夏ずっとセキュリティの穴見つけごっこで競争が起きてたんです。
それは良いことなんですか?
えーとね、難しいんです。本当は安全のために良いことなんですけど、
それで今回はライバルであるオープンAIが一つ、脆弱性を見つけて、今回のうちのPHPの脆弱性のうちの一つがそれなんですね。
だから、穴を見つけごっこで競争して、うちのAIの方がすげーぜっていうことが、
結果として安全性を高めたのか、新しい穴を見つける競争になっちゃって、なお攻撃が増えているのかよく分からないです。
大変な時代だってことはよく分かりました。どうもありがとうございました。
ありがとうございました。
ITジャーナリストの三上陽さんでした。ありがとうございました。
インターネット時代との向き合い方
三上さんがおっしゃっていた情報漏洩についても、PHPの問題にしても、我々個人としては何もできない。
何もできない。無力ではありますね。
だけどその中、生きなきゃいけないんですよ。私なんかも長くあなたが生きるわけですから。
これはやっぱりぜひ三上さんからいろんな情報を得て、ラジオ機器の皆さんも、
この時代を生き抜く一つの方法として、このインターネット上の世界とどう向き合って、
それをどう使っていくかっていうのが大切なんでしょうね。
そうですね。向き合い方が力が大切になってきますね。
では皆さんに深堀への感想をお待ちしています。
yo!rkbr.jp、yo!rkbr.jp、ファックスは092-844-8844、092-844-8844まで送ってください。
そして深堀をポッドキャストでも聞けるようになりました。
ぜひ、夜直し堂今週の深堀で検索して、ポッドキャストでもお楽しみください。
今週の深堀でした。
