PHPでAIが発見した重大な脆弱性2件を修正

PHP開発チームは10月21日、2件の重大な脆弱性を修正する緊急アップデートを公開した。これらの脆弱性により、攻撃者は認証を経ることなく、サーバー上で遠隔から任意のコードを実行できる状態にあった。更新されたバージョンは8.5.12、8.4.27、8.3.36、8.2.35である。

脆弱性は、情報セキュリティの専門家が人工知能モデルを活用して発見した。OpenAIによると、調査はPatch the Planetという取り組みの一環として実施されたという。影響を受けたのはウェブリクエストを処理するPHPの環境で、リスクの度合いは各サーバーの構成によって異なっていた。

1件目はメモリ不足の際にシステムの内部状態が破損する問題に関連している。2件目はメモリ解放後に古いデータが使用されることで生じる。PHP開発チームは、最も危険な攻撃シナリオとしてmod_php経由の悪用を挙げており、この場合はアプリケーションのコードが実行される前に攻撃が始まる可能性があった。なお、PHPの重大な脆弱性2件の修正と最初の攻撃の確認については、以前の記事でも報じている。

修正の準備には約2か月を要した。作業にはPHPの開発者、Calif、Wiz、Cloudflareの専門家、さらに米国サイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA)と米ホワイトハウスの関係者が参加した。関係者は、開発者やソフトウェア提供企業が公表前にパッチを用意できるよう、情報公開の時期を調整した。

開発者とサーバー管理者には、速やかに修正済みバージョンへPHPを更新することが強く推奨されている。導入済みのバージョンを確認するため、OpenAIは診断ツールphp2shell-checkerをGitHubで公開した。

OpenAIはさらに、今回の手順を、AIが発見した重大な脆弱性の開示に関する標準的な規程として定着させることを提案している。同社は、統一された手順によって開発者、セキュリティ研究者、政府機関が迅速に情報を共有でき、技術的な詳細が公になる前に修正を公開できるようになるとしている。