世界的に広く使われるプログラミング言語「PHP」に重大な脆弱性が見つかり、開発チームは21日夜に修正プログラムを公開した。国内の企業や官公庁は22日、PHPを利用したサービスを一時停止して修正する対応に追われたが、すでに複数の国内サーバーを標的にした攻撃も検知されており、影響が広がる恐れがある。
2種類の脆弱性、いずれも「緊急」
開発チームによると、今回見つかった脆弱性は2種類で、いずれも国際的な指標で最も深刻度が高い「緊急」にあたる。悪用されると、サイトの改ざんや顧客情報などの窃取、サービス停止といった致命的な被害が生じるとされる。
米グーグル傘下のセキュリティー会社「ウィズ」によると、今回明らかになった脆弱性は10年以上前から存在していた。PHP財団は2024年、脆弱性の懸念があることを把握していたが、開発者の人手不足などで修正は先送りされたという。
悪用試みる攻撃が数百万件、国内でも検知
米サイバーセキュリティー大手クラウドフレアのマシュー・プリンス最高経営責任者（CEO）は22日、X（旧ツイッター）に「PHPの脆弱性の公表後、悪用を試みる攻撃が数百万件確認された」と投稿した。
国内への攻撃も確認されている。情報セキュリティー会社「トレンドマイクロ」（東京）は22日朝までに、複数の国内サーバーへの攻撃を検知した。被害の有無は不明という。
企業や官公庁でサービス停止相次ぐ
企業や官公庁などでは緊急の対応に追われている。大和証券は21日、緊急メンテナンスのため、口座開設や住所変更など、ウェブサイトでの一部サービスを停止。三菱UFJ銀行も22日、投資信託の口座開設などのインターネットサービスを一時停止していると発表した。
ゼンショーホールディングスは21日夜から、牛丼チェーン「すき家」など自社で展開するほとんどのブランドの公式アプリとネット上の予約を順次、遮断する対応を取った。財務省や厚生労働省なども一部サイトを停止し、修正に当たった。
PHPはコンピューターを動かすときに使うプログラミング言語の一つで、ウェブサーバーの構築や、サイト画面の表示、データベースからの情報取得に使われる。開発チームや欧州系のウェブ技術調査サービス「W3Techs」によると、30年以上前に登場し、習得がしやすいことなどから、世界のウェブサイトの7割で使用されている。
