PHPの緊急パッチ後、更新が遅い小規模なWebサイトでは侵害された状態が数週間続く可能性があるとして、ImmunefiのCEO、Mitchell Amador氏が警告しました。暗号資産ウォレットをWebサイトへ接続する際の慎重な対応を呼びかけた点も、利用者に関わる論点です。
- Immunefi CEOが警告した、小規模サイトで数週間続く侵害リスク
- CloudflareのCEOは、24時間で数百万件の悪用試行に言及しました。
- AIで脆弱性発見が安価になるとのAmador氏の見解
- ウォレット接続時の慎重な対応とトークン承認の確認が焦点です。
PHPの緊急パッチ後に残る更新の遅れ
PHP Foundationは、2024年に初めて特定された重大な問題の修正が、リソース不足で遅れたと説明したとされています。PHP開発者は同日に二つの重大な脆弱性に対する緊急パッチを公開しましたが、Webサイト側ではそれぞれが更新を適用する必要があります。
Immunefiの最高経営責任者であるMitchell Amador氏は、特に緊急更新の導入が遅い小規模なWebサイトでは、侵害された状態が数週間続く可能性があると警告しました。パッチの公開と、各サイトでの更新完了は同じ時点にはならないという点が、今回の懸念の中心です。
数百万件の悪用試行とAIをめぐる見方
CloudflareのCEOであるMatthew Prince氏は、PHPの脆弱性が公表された後の24時間で、同社ネットワークに数百万件の悪用試行があったとXで述べています。FBIのサイバー部門も、PHPの中核部分で遠隔からコードを実行される可能性がある場合、重要なデータやネットワークが損なわれ得ると警告しています。
Shinobi氏は、AIが脆弱性を短時間で見つけることで攻撃の速度は変わる一方、攻撃の性質そのものを変えるわけではないとの見方を示しました。Amador氏も、最先端AIモデルの普及によって脆弱性の発見が安価になり、攻撃者側に有利な環境が広がったとする見解を示しています。これらは、AIが今回のPHP脆弱性を直接引き起こしたという説明ではなく、脆弱性の発見と修正にかかる時間差をめぐる見方です。
暗号資産ウォレット接続で示された注意点
Amador氏は、ログインするWebサイトがすでに侵害されている可能性を考慮するよう呼びかけ、パスワードの使い回しを避けることや、暗号資産ウォレットをWebサイトへ接続する際に注意することを促しました。また、身に覚えのないトークン承認（Webサイトにウォレット内のトークンを操作する権限を与える設定）は取り消すよう求めています。
今回示された論点は、PHPの脆弱性そのものだけでなく、パッチ公開後に個別のWebサイトが更新を終えるまでの時間にもあります。Webサイトへのログインやウォレット接続に関するAmador氏の発言は、その間に利用者側で想定すべきリスクとして示されたものです。
