ウェブサイトサーバー言語PHPの致命的な脆弱性が人工知能（AI）によって発見され、さらにAIエージェントを用いた攻撃に悪用されたことが確認された。攻撃は迅速化している一方で、侵害の痕跡を見つけることが難しく、パッチの負担も大きいため、国内企業のセキュリティ対応に緊急事態が発生している。
25日、セキュリティ業界によると、アメリカのセキュリティ企業パロアルトネットワークスの脅威分析組織ユニット42は、この日行われたブリーフィングでPHPの脆弱性を狙った攻撃者が『エージェンティックAI攻撃プラットフォーム』を使用したことを確認した。エージェンティックAIとは、人間の指示なしに自ら目標を設定し、道具を選んで作業を行うAIを指す。
このAIエージェントはフランス、フィンランド、デンマーク、オランダの政府ネットワークに侵入し、わずか2時間で主要な情報を取得した。侵入から情報取得までの時間は2時間に過ぎず、攻撃が始まった後に人間が対応するには迅速すぎる。ユニット42が確認した事例は、攻撃段階でもAIが人の手を借りずに動けることを示している。
問題の脆弱性は2件である。例外状況を適切に処理できないエラーと、既に解放されたメモリを再利用するエラーで、いずれも国際評価基準（CVSS）で最高リスク等級の9.2点を獲得した。PHP 8.5.12などのセキュリティアップデートが出る前のバージョンを使用しているウェブサイトはすべて攻撃対象となる。
攻撃者は特定の条件下でログインやユーザー操作なしにリモートで悪性コードを実行できる。この脆弱性は、アメリカのセキュリティ企業カリフがオープンAIのAIモデル『GPT-5.6 Sol』で8月1日に初めて発見し、11日にPHP開発チームに通知した。ウィズも8月24日に2件を独立して報告した。
脆弱性は2ヶ月以上非公開で扱われた後、10月21日のセキュリティアップデートと共に公開された。セキュリティ企業ウィズによると、全世界のウェブサイトの約70%がPHPを使用しており、国内で広く使われているWordPressやGnuBoardもPHPベースである。
影響範囲が広い理由は、特定のサイトの設定問題ではなく、PHPエンジン自体の脆弱性であるためである。侵害の有無を確認することも容易ではない。脆弱性がウェブアプリケーションよりも下位のPHPエンジンで発生しているため、一般的なアプリケーションログだけでは攻撃の痕跡が残らない。
セキュリティ企業SGAソリューションズは『PHP2Shell緊急セキュリティ勧告および対応ガイド』で、△異常に長いまたは破損したPHPセッションクッキー（PHPSESSID） △繰り返されるHTTP 500エラー △接続要求を処理するPHPワーカープロセスの頻繁な再起動を主要な点検対象として挙げた。このような兆候がなくても侵害の可能性を排除できないため、ウェブサーバーとウェブファイアウォール（WA）の記録、PHPエラーログを併せて分析する必要があると説明している。
パッチも課題である。PHP 8.2以上のサポートバージョンにはセキュリティアップデートが出ているが、公式サポートが終了した8.1以下を使用している企業は別途ソースパッチを適用するか、上位バージョンに移行する必要がある。セキュリティ業界は、運用中のウェブサイトとサーバーのPHPバージョン確認、セキュリティパッチ適用、侵害の有無の点検を同時に行うよう推奨している。
염흥열（ヨム・フンヨル）順天郷大学情報保護学科教授は「今回の脆弱性はセキュリティ研究者がAIを活用して発見したもので、AIがセキュリティ脆弱性を見つける時代が現実化したことを示している」と述べ、「公共機関と民間企業は、自社のシステムとウェブサイトにこの脆弱性が存在するかどうかを迅速に点検する必要がある」と語った。
* この記事はAIによって翻訳されました。
亜洲日報の記事等を無断で複製、公衆送信 、翻案、配布することは禁じられています。
