10月21日、22時ごろ政府が異例の緊急対応を呼び掛けた。
多くのウェブサイトで利用されているプログラミング言語「PHP」に重大な脆弱性が発見されたことを受け、高市総理は自身のXで「皆様に、今夜に対応して頂きたい大至急のお願いです」と発信し、システム管理者や事業者に対して速やかな対応を求めた。
また、PHP開発元が日本時間23時に修正プログラムを公開する予定であることを受け、「可及的速やかに適用できるよう準備をお願いします」と呼び掛けた。さらに、修正プログラムの適用が困難な場合には、被害防止の観点からウェブサイトやウェブサービスを一時的に停止することも有効な対策の一つであるとの認識を示している。
今回問題となっているのは、世界中のウェブサイトや業務システムで利用されているPHPの重大な脆弱性である。PHPは企業のホームページやECサイト、会員管理システム、自治体サイトなど幅広い分野で利用されており、世界のウェブサイトの約7割で採用されている。
近年、サイバー攻撃は巧妙化しており、2024年にはPHPの脆弱性「CVE-2024-4577」を悪用した攻撃への注意喚起が行われた。今回発見された脆弱性についても、悪用された場合には認証なしで遠隔から不正なコードを実行される可能性が指摘されており、ウェブサイトの改ざんや情報漏えい、業務停止につながるおそれがある。
ただし、すべてのホームページが今回の影響を受けるわけではない。対象となるのはPHPを利用して構築・運用されているウェブサイトやウェブアプリケーションである。とくに企業サイトや団体サイトで広く利用されているWordPressはPHP上で動作しているため、多くのWordPressサイトは確認対象となる。一方、PHPを利用していない静的なホームページなどは直接の対象ではない。
また、今回とくに対応が求められるのは、自社サーバーやクラウド環境などでPHPを自ら管理している事業者である。共用レンタルサーバーを利用している場合は、PHP本体の更新をサーバー事業者が実施するケースが多いため、利用者は契約先の対応状況を確認するとともに、WordPress本体やプラグイン、テーマの更新状況を点検することが重要となる。
今後求められるのは、正確な情報に基づく迅速かつ冷静な対応である。PHPの修正プログラムを速やかに適用するとともに、WordPress本体やプラグイン、テーマの更新状況も確認する必要がある。
今回の政府による異例の呼び掛けは、サイバーセキュリティがもはや一部の技術者だけの課題ではなく、企業活動や社会インフラを支える重要な経営課題であることを改めて示している。