[IT] PHPの致命的脆弱性発覚

HTML用プリプロセッサのphpに脆弱性発覚で大騒ぎです。 

このページに来るような方なら既にご存知でしょうが、Webサイトの多くで使用されているphp(Hypertext Preprocessor)のモジュールに通称PHP2Shellと呼ばれるクリティカルな脆弱性が発見され、phpを使用しているサイトはもれなく乗っ取り可能な状態になってしまいました。

不具合の内容を簡単に言えば、リクエストの処理が作業用メモリの使用限度超過で途中でキャンセルされた場合に当該メモリの一部がクリアされず残ってしまい、そこから任意のコードを実行出来てしまうというものです。

これは昨今猛威を振るっているAI関連技術を悪用したものではなく、古典的というか従来からあるタイプのプログラム自体に問題があるタイプの単なるバグですね。 

当然ながら既にパッチがリリースされ、それを適用したモジュールも緊急配信されています。一応、phpのメモリ周りの設定変更でも応急処置は可能らしいですが、副作用もあるので素直に速やかに更新しましょう。

Ubuntuで言えばphp-fpmが8.5.12になっていればOKです。 

本件は深刻な脆弱性である事は疑いようのないところですが、対処は単にphpモジュールをアップデートするだけなのでごく短時間で済む話、の筈なのですが、対処に時間のかかっているサイトが多数見受けられます。何故なんでしょうね。検証とかバックアップとか色々やってるんでしょうか。それともベンダがパンクして手が回らなくなっているとかなんでしょうか。

なお私のところではそもそもphpに限らずCGIの類は（外部からアクセス出来るサーバーには）使っていませんので無関係でしたが、それでも肝が冷えました。遭遇された方々が感じた恐怖は如何ばかりか。そしてこれから対処に追われる、追われている方々の心境は察するに余りあります。

javascriptは大丈夫かなあ。。。 とか嫌な想像もよぎります。

ともあれ、ほとんどの企業サイトでは緊急メンテナンスが行われていますが、放置されているサイトも多数あるものと思われます。しばらくはそれらのサイトが攻撃され被害を出すケースが続出するでしょう。 もっともphpというか脆弱性に限らず、主にクライアントアプリのリバースエンジニアリングを用いたWEBサイト経由の被害が大量に発生している現状では、それほど目立つ事にはならないかもしれませんが。

なお、今回の脆弱性発見はAIを用いてなされたようです。攻撃に使われるのがAIなら、調査・対策に使われるのもAI。そもそも脆弱性満載のコードを生成するのもAI。何やらマッチポンプのようにも思える奇妙な状況ですが、もう誰にも止められないんでしょうね。である以上、似たような脆弱性は他にも続々と出てくるんでしょう。困ったものです。本当に。