【解説】 PHPの脆弱性、サイバー空間の不発弾のようなもの＝BBCテクノロジー編集長
ゾーイ・クラインマン・テクノロジーおよびAI編集長
以前、私はショッピングセンターの建設現場の向かいで働いていた。
工事にともない、第2次世界大戦時の不発弾が発掘されるかもしれないと告げられた。
結局、不発弾は出なかった。それでも、念のために手順が定められていたし、職場の人々は全員、建物内の指定された安全区域に避難する訓練をした。
今回のプログラミング言語「PHP」をめぐる事案は、サイバー空間における不発弾のようなものだ。まだ起きていないサイバー事件が、これほど劇的、公的、世界的な反応を呼んだ例を、私は見たことがない。
2025年に英小売大手マークス・アンド・スペンサーや英自動車大手ジャガーランドローバー（JLR）が大打撃を受けたような、ランサムウエア（身代金要求型ウイルス）による痛ましい攻撃は、いまのところ発生していない。
だが、潜在的な脅威は非常に深刻なので、予防措置として、世界中でウェブサイトが閉鎖されている。
テクノロジー企業100社は2カ月ほど前、人工知能（AI）時代における新たなレベルのサイバーレジリエンス（サイバー攻撃に対する耐性）を身につけるよう世界に警告する公開書簡を出した。
それが何を意味していたのかを知るのに、多くの時間は必要なかった。
何百万ものウェブサイトで使用されているPHPで見つかった脆弱（ぜいじゃく）性は、長年ひっそりと存在してきた。簡単に悪用できる性質のものではない。
あるサイバーセキュリティー研究者は、試しに悪用してみようと一晩中あれこれやったが、非常に困難だったと私に話した。
だが、人間にとって非常に困難な問題が、AIにとってはどんどん簡単なことになっている。
結局、バグは発見されたが、AIが専門家らを助けたとして高く評価されている。PHPを管理するPHP財団は、このバグに対処し、修正プログラム（パッチ）を公開した。
「本当にジレンマ」
すべてのサイトが修正できるようになるまで、PHPの脆弱性については秘密にしておくはずだった。ところが、情報が漏れてしまった。
その時から、時計の針は動き始めた。
この記事を書いている22日時点では、PHPの欠陥を悪用してサイトの攻撃に成功したという報告は出ていない。
「本当にジレンマだ」と、英サリー大学のアラン・ウッドワード教授は言う。
「人々に、準備が必要で、パッチが緊急に必要だと、攻撃者に気づかれることなく知らせるには、どうしたらいいのか」
アメリカのクラウドフレアやパロアルト・ネットワークスといった大手ウェブ企業は、何百万件もの攻撃の試行があったとしている。
犯罪者たちが何らかの成果を上げたかは、しばらく分からないだろう。影響を受けた企業が、まだそれに気づいていない可能性があるからだ。
私たちが知る限り、不発弾は今のところ不発のままだ。これは専門家らにとって、成功といえる。
ロンドン大学群を構成するクイーン・メアリー大学のジーナ・ネフ教授は、これを良いニュースだと評した。
「大手AI企業の支援を受けたチームが、AIを使って問題を発見し、解決のため何カ月も協力し、誰もが安全で安心できる状態になるようにした」と、ネフ教授はBBCラジオ4の番組「トゥデイ・プログラム」で述べた。
「私たちには、こうしたリスクに対処するものすごい能力がある」
とはいえ、悪人たちもAIを使う。おそらく今この瞬間も、同じツールを使って侵入を試みているだろう。
サイバーセキュリティー当局は、ウェブサイトの所有者に対し、脆弱性を直ちに修正するよう警告している。ただ、このパッチは最新バージョンのPHPにしか対応していないため、古いサイトはまずPHPをアップグレードする必要がある。
多くの人にとって、修正はかなりの作業になるだろう。もしあなたの近くにウェブ開発者がいるなら、その人たちを思いやり、祈り、濃いコーヒーを差し入れてあげるといいかもしれない。
