# 2026-10-22 [[php2shell]]騒動を観察する ## 私見 絶賛観察中。仕事にも関わる話でもある。 ひとまず[[php2shell]]のノートを作成。そちらに基本情報をまとめた。以下は今回の騒動に対する私見。 今回の件が社会的に大きな騒ぎになった理由は次のふたつの条件が重なったことにあると考えている。 1. [[PHP]]という、世界で約7割のWebサイトで用いられているとされるプログラミング言語のコア部分に脅威度の高い脆弱性が見つかった。これは多数のWebサービスが影響を受け得ることを意味する。 2. 修正版の提供前にこの脆弱性の情報がリークされ、それを悪用したとされる攻撃コードが[[ソーシャル・ネットワーキング・サービス|SNS]]などで拡散した。これにより[[ゼロデイ攻撃]]のリスクが広く認知され、各サービスの運営者が緊急対応を迫られた。一部ではメンテナンスによるサービスの一時停止も発生した。 ### 脆弱性そのものの脅威度について 1について。 脆弱性の深刻度を評価する[[CVSS]]のスコアは9.2と極めて高い。[[リモートコード実行]]に繋がりうる脆弱性であり、攻撃が成功すればサーバの乗っ取りにまで至る可能性がある。 しかし、同程度のスコアの脆弱性は日々報告されている。[[PHP]]に限っても2024年にスコア9.8の脆弱性（CVE-2024-4577）が存在した[^1]。 したがって、今回の騒動は単に深刻度の高い脆弱性が発見されたから起きたのではない。脆弱性の影響範囲の広さに加えて、修正版の提供前に情報がリークされたという次に述べる事情が重なったことに留意したい。 ### 脆弱性情報のリークと攻撃コードの拡散について 2について。 実際に、公開前の[[CVE]]識別番号を含む脆弱性情報がリークしたことは確認されている。ただし、攻撃者が汎用的に利用できる[[エクスプロイト]]まで流出したのかは私には判断できない。脆弱性を悪用する攻撃が観測されたとの報告はあるものの、それによる侵害が確認されたという報告は少なくとも私が確認した範囲では見当たらない。 それでも現在のAIをめぐる環境が今回の情報に対する危機感を強めているように思う。リークされた情報から攻撃可能な箇所を推測し、攻撃コードを短時間で作成できるのではないか。こうした懸念が、現実的な脅威として社会的に認識され始めているのではないか。 以下のポストでは[[エクスプロイト]]を実演する映像が公開されている。映像では[[PHP]]製の複数のアプリケーションやフレームワークに対して特定のファイルを設置することに成功しているように見える。ただし、映像だけでは実行環境や攻撃の成立条件を十分に検証できないため、これをもって汎用的な攻撃手法が確立されたとまでは判断できない。  また、今回の脆弱性の発見には[[OpenAI]]が関与したことが発表されている。サイバーセキュリティにおいて、攻撃と防御の双方でAIの役割が大きくなっていることを象徴する出来事だと感じる。AIを利用して脆弱性を発見する一方で、攻撃者もAIを利用して脆弱性の分析や攻撃コードの開発を加速させているのだ。  ## 影響 どのサービスが一時停止したかなど、今回の騒動が各サービスに与えた影響については[piyorogu](https://piyolog.hatenadiary.jp/entry/2026/10/21/174516)の記事が詳しい。 個人的には[[👤高市早苗]]首相のアカウントから、今回の件についてポストがなされたことに驚いた。 昨今、不正アクセスと個人情報の流出が相次いでいる。こうした状況を背景に、サイバーセキュリティ上の問題に対する社会的な感心が高まっていることがこの件からも見て取れる。  [^1]: CVE-2024-4577はWindows上で特定のPHP-CGI構成を使用している場合に影響する脆弱性である。影響を受ける環境の広さという点では[[PHP]]本体に起因する今回の[[php2shell]]のほうが懸念は大きい。ただし、両者の[[CVSS]]スコアは異なるバージョン（それぞれ3.1と4.0）に基づいて算出されており、単純には比較できない。