前回は、数千万件規模に達する個人情報漏洩の猛威と、その裏にある高度化された攻撃手法について解説しました。今回は第3回として、10月に発覚して世界中に大きな衝撃を与えたPHPの重大な脆弱性「PHP2Shell」を取り上げます。なぜこれほどまでに多くの企業や自治体がシステム停止に追い込まれたのでしょうか。そのメカニズムと、日本企業に深く根を張る構造的な課題に迫ります。

土台に潜んでいた深刻な欠陥──世界が震撼した「PHP2Shell」の衝撃

　まず理解しておくべきなのは、今回問題となっている「PHP」が私たちのデジタル社会でどれほど重要な役割を果たしているかという点です。これは、Webサイトの裏側（サーバー）で動くプログラミング言語であり、ログイン機能の処理など、ユーザーに合わせたページを作り出すものです。使用している言語が分かっているWebサイトの約7割で使われており、ブログや企業サイトで広く普及しているWordPressもPHPで作られています。そのようなサイトの土台そのものに発見されたのが、深刻度最高レベルの「緊急」（10点満点中9.2点）と評価された「PHP2Shell」です。

　この欠陥を突かれると、外部から認証なしでサーバー上の命令を勝手に実行され、サイトの乗っ取りやDDoSボットへの組み込み、さらには重要なデータの盗難や詐欺サイトへの誘導といった深刻な被害を受けるおそれがあります。しかも対象はPHP 5.4以降のほぼすべてのバージョンであり、世界で約3,400万〜4,100万件ものサービスが影響を受ける可能性が指摘されています。アプリの個別の作り込みに関係なく狙われる可能性があり、多くのWebサイト運営者にとって無視できない脅威となりました。

　また、公式の修正版が公開されるよりも前に情報が漏洩し、悪質な攻撃の試みが世界中で観測される展開となったことで、その緊急度はさらに増してしまいました。

「動かせない・触れない」──日本企業を直撃した技術的負債

　こうした世界的な混乱の中でも、日本国内でも多くのシステムが一時停止や対応に追われる事態となりました。銀行や自治体、通信サービスなど、500を超えるサイトが相次いでサービス停止を告知し、中には古い仕組みのままでは対策できないとしてサービス終了を決断するケースも見られました。

　その背景にあるのが、「納品後の買い切り」という技術的負債です。多くの企業サイトは外部の制作会社に請負で開発してもらったものの、その後の保守契約が結ばれておらず、誰も中身が分からない「ブラックボックス」状態になっていました。いざ最新版にアップデートしようにも、無理に進めるとエラーが起きてしまうため、予算やエンジニアを確保して検証し直す必要が生じます。

　実際に、東証上場企業であってもバージョンが判明したサイトの約7割がすでにサポートの切れた古い版のままであったという調査データもあり、組織として継続的にシステムをメンテナンスする仕組みが欠如していたことが今回の大きな痛手につながりました。

次回の概要

　最終回では、ここまで見てきた「個人情報漏洩」と「PHPの脆弱性」という2大脅威に対して、組織が取るべき抜本的な対策と、私たちが日常で実践できる自衛策を具体的に紐解いていきます。