PHP？ハッキング問題で日経平均は6万2000円割れ？

PHPの脆弱性：AIが10年以上見逃されたバグを発見

PHPは1994年にデンマークのプログラマーが自分のホームページ用に作り無料公開したプログラミング言語で、現在は全世界のウェブページ約7割で使われている。WordPressも動作基盤はPHPだ。誰でも同じ内容を見る静的なページとは異なり、ECサイトの購入履歴や金融機関のマイページのように「ユーザーごとに異なる情報を動的に組み立てる」部分を担う。

今回、米OpenAI・Google・サイバーセキュリティ企業Wizが8月下旬にAIを使ってPHPの重大な脆弱性を2つ発見した。10年以上、人間の目では見つけられなかったもので、悪用されるとPHP製サイトやシステムの乗っ取りが可能になる。PHPの運営団体は10月20日に修正版の公開日時を予告し、日本時間21日22:40頃にリリース。ただしAmazonは公開4日前の10月17日時点で悪用の試みをすでに観測していたと公表している。

影響を受けたサービス：金融機関・公共機関が相次ぎ停止

10月22日、三菱UFJ銀行（一部）・青森銀行・静岡銀行・山梨中央銀行・山陰合同銀行のほか、みずほや大和証券も臨時メンテナンスを実施した。JR九州の予約アプリ、財務省、マイナンバーカード関連システム、ゲーム会社も一部停止。多くは再開済みだが、修正適用には既存の表示崩れのリスクや対象数の多さがあり、切り替えは容易ではない。自分でWordPressサイトを運用している場合はレンタルサーバー側が対応するケースが一般的とされる。

中国系ハッカー集団によるConnectWise侵入

マイクロソフトは10月21日、中国政府と関係のあるハッカー集団「Storm-0940」が、AIを使ったオープンソースの侵入テストツール「アルテックス」を悪用してITサービス企業ConnectWiseに侵入したと発表した。世界数百の組織を標的にした攻撃の一環とされる。ConnectWiseは顧客企業のIT機器管理やクラウドバックアップを請け負う企業で、「マンションの合鍵を持つ管理人」に相当する。侵入口を塞ぐことは可能でも、内部にバックドアが仕込まれていれば別途詳細調査が必要になる。在米中国大使館は関与を否定しているが、マイクロソフトが明言した事実は重いと話者は述べた。

個人がとるべきセキュリティ対策の優先順位

パスワードを使い回しているユーザーは全体の6〜7割とされる。対策の優先順位は第一にメールアカウント。メールを乗っ取られると他サービスのパスワードリセットも不正に行われるため復旧が最も困難になる。GmailなどのメインアカウントはGoogleのランダム生成パスワードを設定し、二重認証を有効にする。次に主要銀行・証券口座のパスワード変更と二重認証の設定。また、滅多に使わないショッピングサイトにはクレジットカード情報を保存したままにしないことも勧められた。

株価・金融市場への影響

日経平均は前場終値61,825円（前日比1,082円安）、一時61,400円台をつけた。かつて7万円超だった水準からの大幅な下落だ。NASDAQは2.6%安、半導体株指数SOXは6.7%安と大幅下落。セキュリティ関連株は明暗が分かれ、トレンドマイクロは9月の5,000円台から10月13日に7,667円へ約4割上昇（PER約31倍・PBR8.2倍）し、現在は7,300円台。GMOプライムストラテジーズは大幅減益にもかかわらずストップ高が続いた。米10年債利回りは5%を下回り4.96%、日本の10年国債金利は3.1%超から2.76%に低下しており、住宅ローン変動金利の借り手には一息となる水準。WTI原油は100ドル付近、金は一時4,000ドルを割り込んだ。為替は1ドル156円台で推移している。