Wiz CTOが語るPHP重大脆弱性2件、AIが発見と悪用の速度を変える

PHPに重大な脆弱性2件

約70%のウェブサイトを支えるとされるオープンソースのプログラミング言語PHPに、重大な脆弱性が2件見つかりました。組織はシステムの修正に追われ、なかには脆弱性を修正できるまでサイトをオフラインにした事例もあったということです。発見に関わった研究者たちは、これで終わりではなく始まりに過ぎないとの見方を示しています。

この対応には、Googleが買収したセキュリティ企業WizのTomer Schwartz氏(Exposure Management & AppSec担当CTO)が加わっていました。TechCrunchのポッドキャスト「Equity」で同氏は、OpenAIや研究グループのCalif、PHPチームとともに進めた修正作業を内側から語っています。番組では、初期段階のスタートアップがセキュリティを前提に開発する方法や、手作業によるパッチ適用がスケールしない理由も扱われています。

AIが発見を加速させる

Schwartz氏は、AIがなければWizは今回のバグを発見できなかったと述べています。同社は独自のツールを使い、週末のあいだに数十ものアイデアを検証したということです。脆弱性の発見作業が、人手による調査からAIを用いた仮説検証の反復へと変わりつつあることを示す例といえます。

さらに番組では、あるバグが10年以上にわたって目の届く場所に存在していた理由と、何が変わって悪用可能になったのかが議論されました。長く眠っていた不具合が、環境の変化をきっかけに現実の脅威へ転じる点は、古いコードを抱えるシステムに共通する課題だとみられます。

開示とパッチの現実

脆弱性の公表をめぐっては、情報が事前に漏れることが協調的開示のプロセスにほぼ織り込まれているとされ、Wizがそれにどう備えたかが語られました。協調的開示とは、発見者が修正の完了まで公表を遅らせ、開発者と調整しながら情報を出す手法を指します。

番組の論点の一つは、手作業によるパッチ適用がスケールしないという点です。修正対象が広範囲に及ぶほど、個別対応では時間が足りなくなります。誰がまだ未修正のままなのか、WordPressでサイトを運営する小規模事業者が心配すべきかどうかも、番組で取り上げられるテーマとして挙げられています。

現時点で不明な点

今回参照できるのはポッドキャストの公開情報であり、脆弱性の技術的な詳細や攻撃の手口は明らかにされていません。未修正の組織がどこなのか、小規模なWordPress運営者に具体的な影響があるのかについても、この範囲では結論は示されていません。

「Vulnpocalypse(脆弱性の大災害)」という表現も番組内で使われた比喩であり、被害の規模を定量化したものではありません。影響範囲を判断するには、PHPプロジェクトやWiz、研究グループによる技術的な開示情報を確認する必要があります。