PHPサイバーセキュリティー危機、知られざる英雄になったエンジニアの話
ショーナ・マッカラム上級テクノロジー記者
オンジェイ・スリーさんは20年以上にわたり、主に余暇を利用して、世界中のウェブサイトが安全に稼働し続けるよう、ひっそりと支援を続けてきた。
スリーさんは、無料OS「Linux」で最も人気のある2バージョンのソフトウェアを自主的に保守している。どちらのバージョンも、ウェブサーバーでよく使われている。
Linuxの保守作業には通常、世界中の多くのウェブサイトの基盤となっているプログラミング言語「PHP」を常に最新バージョンに更新しておくことも含まれる。
スリーさんは先週、本当に忙しくなった。
PHP財団は21日、人工知能（AI）が発見した二つの重大なセキュリティー上の欠陥に対する修正パッチをリリースした。
しかし一般の人は、この修正プログラムを自分のシステムに自分でインストールしたくても、その方法がなかなか理解できないかもしれない。そこでスリーさんは、専門知識がなくても修正パッチを簡単にインストールできるパッケージに変換するためのあらゆる作業を、無償で行った。
「まるで自分が全ての人に対して責任を負っていて、その人たちを失望させるわけにはいかないんだと、そういう気持ちだった」と、スリーさんはBBCニュースに話した。
PHPの脆弱（ぜいじゃく）性が発覚し、サイバー犯罪者がその脆弱性を悪用する恐れが出てきたことで、世界中でセキュリティーアップデートのインストールが急ピッチで進められた。
スリーさんは、こうしたアップデートを提供できるよう尽力している、数少ない開発者の一人だ。
インターネット上のセキュリティーを維持することは、フルタイムの仕事のように聞こえるかもしれないが、実はこれはスリーさんの本業ではない。
スリーさんは、アメリカのNPO「インターネット・システムズ・コンソーシアム」で、DNSエンジニアリングのディレクターを務めている。
そして、その傍らでスリーさんは余暇を利用し、20年以上にわたり、Linuxの「Debian」と「Ubuntu」向けのPHPソフトウェアパッケージの保守作業をボランティアで行ってきた。
スリーさんはPHP財団が公開したソースコードを入手し、ウェブサイト運営者がサーバーに簡単にインストールできるパッケージに変換する。
今週、「インターネットを救った」人物の一人として名前が挙がったことをどう思うかと尋ねた際、スリーさんは謙虚に、「自分の仕事に意義を感じられるので、ある意味、やりがいがある」と話した。
「同時に、PHPプロジェクトのメンバーなど、このプロジェクトに関わってきた他の人々への評価が十分ではないと感じている」
一方でスリーさんは、自分のこの役割から重圧を感じていることも認めた。
時間との戦い
スリーさんは、今回の脆弱性についてPHP財団から事前に警告を受けていた。しかし、脆弱性に関する情報がインターネット上に流出したことで、予定されていたリリースが前倒しされ、事態は急速に悪化した。
「これはかなり深刻な事態だと気づいた。人々に提供するPHPパッケージを準備する時間があまりなかった」と、スリーさんは述べた。
それでも、緊急性はあるものの、自分のそれまでの経験と準備によって任務を遂行できると確信していたという。
世界中の他の開発者たちも、パッチが確実に配布されるよう尽力していた。このことは、インターネットの重要なインフラが、いかに献身的な開発者に依存しているかを改めて浮き彫りにした。
1年分の寄付金が1週間で
スリーさんの元には先週、ソフトウェアパッケージのユーザーから多くの支援の声が寄せられた。また、わずか数日で1万ドル（約157万円）以上の寄付金を受け取ったという。
「今週集まった寄付金は、それまでの1年分に相当する額だ」と、スリーさんは述べた。
スリーさんは、大手テクノロジー企業は、自社が依存しているオープンソースソフトウェアのサポートにもっと責任を持つべきだと述べた。
「彼らはもっと責任感を持つべきだと思う」、「受け取るばかりで何も返さなければ、必ずしっぺ返しを食らう」と、スリーさんは指摘した。
スリーさんは、自分が保守管理ができなくなった場合にどうなるかについても検討している。ソフトウェア企業Freexianの同僚が引き継ぐことは可能だが、同僚たちはまだ自分ほどには経験を蓄積していないのだという。
パッケージに関する最終的な責任の大部分はスリーさんにあるのかという問いに、彼は「ええ、ほぼその通りだ」と答えた。
スリーさんは、AIがセキュリティー上の脆弱性の発見を劇的に加速させること、そしてそれが、サイバー犯罪者とそれを阻止しようとする人たちの両方に利する可能性があることを懸念していると言う。
「これはここ数年で最も深刻な事件だったと思うが、サイバーセキュリティー分野におけるAIの能力が向上していることを考えると、これは単発的な事件ではないかもしれない」
「そして、このような事態は将来、それも近い将来に起こり得る。なので、今回のような素早い対応がもっと頻繁にできるよう、行動できるよう準備しておくべきだ」
