CloudflareのプリンスCEO、ほかの重要ソフトにも深刻な脆弱性が多数あると把握　PHPに続きAIで発見加速、専門家は混乱拡大を予測

時間がない人向けの30秒で理解ゾーン

米クラウドフレア（Cloudflare）のマシュー・プリンスCEOが10月22日（米国時間）、海外メディアのインタビューで、ほかの重要なソフトウェアにも深刻な脆弱性が多数あることを把握していると明かした。ウェブサイトの土台に使われるPHPの欠陥で各国の政府サイトが止まった直後の発言で、AIが長年隠れていた弱点を次々に掘り起こすとして、慌ただしい数カ月になると見通した。

プリンスCEOが語ったこと、語らなかったこと

この記事では、プリンスCEOが何を語り、何を語らなかったのか、そして専門家が今後をどう見ているのかに絞って伝える。PHP脆弱性そのものの仕組みや個人の備えは、関連記事で詳しく扱っている。

プリンスCEOが口にしたのは、ほかの重要なソフトウェアにある「追加の深刻な脆弱性」をいくつも知っている、という内容だった。どのソフトなのか、いつ公表されるのかは明かしていない。

一方で、先行きについてははっきり言葉にした。インタビューでは、毎週のように空が落ちてくるように感じる日々が2年ほど続くだろうと語り、AIが見つけた欠陥の公表が今後も相次ぐとの見方を示している。

ただ、悲観一色ではなかった。プリンスCEOは、欠陥が見つかる状況をお化け屋敷の怪物退治にたとえ、怖くはあっても怪物が隠れたままでいるよりはいいと説明した。実際には、こうした問題の多くが片づいていくことになるとも語っている。

PHPの脆弱性については、関連した侵害の事例を個別に見聞きしたとも明かした。どの程度の規模なのかには触れていない。プリンスCEOは自身のXでも、欠陥が公表される前の10時間に数千件だった悪用の試みが、公表から45分で数万件、2時間で数十万件に膨らみ、投稿時点で数百万件に達したと伝えている。試みの数であって、攻撃が成功した件数ではない。

クラウドフレアは、世界の多くのウェブサイトの前に立って通信を中継し、攻撃を防ぐ事業を手がける。どのサイトにどんな攻撃が届いているのかを、日々目にする立場だ。その会社のトップが、ほかの重要なソフトウェアにも深刻な欠陥があると明かした形だ。

政府サイトが相次ぎ止まったPHPの欠陥

発言の背景には、この1週間で起きた騒動がある。

PHPは、WordPressをはじめとする多くのウェブサイトで動くプログラミング言語だ。開発チームは日本時間10月21日未明（現地時間20日）に深刻な欠陥2件があると予告し、21日夜（日本時間）に修正版を公開した。認証なしで外部からプログラムを実行される恐れがあり、深刻度は10点満点中9.2と評価された。

修正版の公開や適用を待つ間、サイトそのものを止める運営者が相次いだ。オランダでは国家サイバーセキュリティーセンター（NCSC）や政府ポータル「Overheid.nl」、ロッテルダム港のサイトがオフラインとなり、フィンランドの国営ITサービス事業者、デンマークの自治体向けIT企業も一部サービスを停止した。フランスでは内務省が各地の県庁のサイトを一時的に止め、ドイツの連邦IT事業者やベルギー外務省もサイトを閉じている。

クラウドフレアも素早く動いた。修正版が出る前の21日未明（協定世界時）、この欠陥を狙う攻撃を遮断するルールを、無料プランを含む顧客に適用している。ただし同社は、このルールはあくまで応急処置で、PHP本体の更新が欠かせないとしている。

欠陥の仕組みや、個人・サイト運営者が確認すべき点は次の記事でまとめている。

「混乱はさらに続く」と見る専門家たち

今後の見通しについては、海外メディアの取材に応じたサイバーセキュリティの専門家7人が、AIによる欠陥の発見が、政府サイトの停止のような混乱をさらに引き起こすのは”ほぼ確実”だとの見方を示した。”ほぼ確実”はプリンスCEO個人の言葉ではなく、専門家7人の見方としてまとめられたものだ。

数字もその見方を裏づける。脆弱性情報を扱う米VulnCheckによると、AIが後押しする形で、見つかるソフトウェアの欠陥の数は前年の2倍に増えた。調査結果は近く公表される予定だという。

同社の研究者パトリック・ギャリティ氏は、今週だけで似たような事態が4〜5件起きたことを挙げ、この先はもっと増えると予想した。実際、同じ週には、サーバー向けのプログラム実行環境「Node.js」や動画配信ソフト「Plex」の脆弱性が公表され、AI関連サービス「LiteLLM」や開発基盤「Railway」に関わる侵害も明らかになった。インドの電子証明書発行機関eMudhraが、極めて弱い暗号鍵を使っていたことも判明している。

なぜここまで急なのか。

米RunSafe Securityのシェーン・フライ最高技術責任者（CTO）は、欠陥を見つけるまでの時間と、それを攻撃に使える形にするまでの時間の両方を、AIが大きく縮めたと分析した。守る側が修正版を当てる前に、攻める側が準備を終えてしまう恐れがある。

「発見が増えても攻撃が増えるとは限らない」との見方も

もっとも、専門家の見方は一枚岩ではなかった。

通信ソフト「curl」の主任開発者ダニエル・ステンバーグ氏は、AIが見つけるバグは特殊なものが多く、攻撃者が悪用するのは難しい傾向にあると指摘する。セキュリティ企業ArmorCodeのラミー・ラーマン氏も、公表される脆弱性が増えることが、そのまま攻撃の成功が増えることを意味するわけではないと話した。

PHPの件でも、実際の被害は見通しにくい。脅威調査会社Hunt.ioは、アマゾンやクラウドフレアと同じく、PHPの欠陥を悪用しようとする試みを観測した。それでも同社の研究責任者エステバン・ボルヘス氏によると、追跡していた犯罪者たちは、実際に動く攻撃ツールを作れずにいたようだという。

発見の数は増える。ただ、そのすべてが被害につながるわけではない。専門家の議論は、この二つの事実の間で揺れている。

サイト運営者と利用者がいまできること

プリンスCEOは個別のソフト名を挙げておらず、次にどの欠陥が公表されるのかは分からない。だからこそ、日ごろの更新が守りの基本になる。

PHPについては、クラウドフレアも、サイトのコードやプラグインを更新するだけでは足りず、サーバーで動くPHP本体の更新が必要だと呼びかけている。レンタルサーバーなどPHPを事業者が管理している場合は、事業者側で更新が済んでいるかを確かめておきたい。各国の当局も、直ちに更新するか、更新できるまでサイトを止めるよう求めた。

サイトを運営していない人にとっても無関係な話ではない。使っているアプリやパソコン、スマートフォンに更新の通知が来たら、後回しにせずに適用する。AIで欠陥が見つかるペースが上がれば、修正版が届く機会も増えるかもしれない。

空が落ちてくるような週が続くのか、それとも怪物退治が進んで安全なネットに近づくのか。プリンスCEOが把握しているという「ほかの欠陥」が明らかになるとき、その答えの一端が見えてくる。

[文/構成 by 小川そら]