ソフトウェアのセキュリティーホールは、発見者が開発者にこっそり通知し、開発者が修正パッチ作成・配布と同時に一般に脆弱性情報を流すというのが通例だ。協調的開示（Coordinated Disclosure）。有名ソフトウェアだとソフトウェアの配布経路が多様であったり、独立して修正の作成や検証のサポートをする人々もいたりするので、開発者以外の関係者も事前に知ることになるが、パッチのリリースまでは黙っておくのがお約束。
昨日、話題になっていたCVE-2026-109618とCVE-2026-109619は、サーバーサイドプログラミング言語として広く使われているPHPの致命的セキュリティーホールだ。ただし、PHP Foundationが今年開始した複数の外部セキュリティー監査プロジェクトによって発見されたもので、敵対的な攻撃者が最初に発見したものではない。8月から9月に問題が特定され、10月22日にパッチの配布と情報公開が行われる手筈であった。
ところが事情を知る何者かが10月22日にこの致命的脆弱性が公開されることを予告し、外部セキュリティー監査プロジェクトに関わっていた企業がその内容の一部を紹介してしまい、調子にのった者が実証コードを作成して公開する流れとなってしまった。つまり、本来ならば避けられたゼロデー攻撃が、承認欲求モンスターの皆様のおかげで発生しうる状態になった。
一般PHPユーザーからすると、パッチもないし、詳細情報もないので、ゼロデー攻撃を避けるためにはサイトを停止するしかなく*1、実際にそのような対処を行っているサービスが多く発生。なお、パッチと緩和策が公開される前に流れた回避措置の多くは、無意味であるか、厳密には問題を回避しきれていなかった。実証コードの公開がパッチの公開に13時間ぐらい先行しているので、被害にあったところが無いとは言えず、しばらくは予断を許さない。
PHP Foundationの皆さんが、怒っているのか説明を求められたのか、この件で声明を出している*2。まぁ、こういうのは面白いから話題にしたくなるのはわかるが、皆さんいいオトナなんだから黙っていてください(´･ω･`)ｼｮﾎﾞｰﾝ
*1一般にPHPが動くユーザー権限ではOSやDBMSやウェブサーバーをどうこうできず、PHPファイルの改編を制限したり、さらに強制アクセス制御やコンテナー運用で特権昇格攻撃も予防することもできるが、PHPからデータベースのレコードやアップロードしたファイルを操作することは止めることはできない。
*2Today's PHP Security Release, and How We're Strengthening PHP Security — The PHP Foundation — Supporting, Advancing, and Developing the PHP Language
0 コメント:
コメントを投稿