webサイトのバックエンド処理を担うことが多いプログラミング言語「PHP」に深刻な脆弱性が見つかり、
またその情報をハッカーがリークしたことから対応版のリリースを前倒しせざるを得なくなったようで、
今日の23時に配信されたパッチを自分のサイトに適用する作業をしていました。

影響を受けるPHPのバージョンは「5.4以上」。
PHP 5というのは2012年にリリースされた古いバージョンで、とっくの昔にサポートは終了しています。
また、報道によればPHPを使っているwebサイトはインターネット上のwebサイトの実に７割を占めており、
日本だけでなく世界中で大きな影響が出ています。
発端はAIが発見したとのことで、インターネットセキュリティ界隈は当面こういう騒ぎが続くのではないでしょうか。

サポート切れのバージョンでは今回の脆弱性の発表に対する個別のパッチは配布してくれないため、
万が一古いPHPを使っているサイトを運営して存続を望む場合、バージョンアップを余儀なくされます。
しかしメジャーバージョンを上げる場合、さまざまな事情で廃止された関数やクラス、メソッドなどが多数あり、
プログラムの大改修が必要になるケースがよくあります。
しかもバージョンを跨いでの更新となるとさらに問題はややこしくなり、そう簡単には対処できません。
自分もただPHPのバージョンを上げるだけのプロジェクトで仕事をしたことがあります。
つまり、普通なら計画的に時間とお金と労力を注ぎ込んでやることなんですね。
しかし今回、それをしなければ世界中のハッカーの標的になるというリスクにいきなり晒されるわけです。
古いサイトを抱えている小さな会社はごまんとあるでしょうが、そこかしこで炎上しそうです。
大金をかけてリプレイスの依頼を出すのか、いっそ自社サイトは切り捨てるのか……。
ネットに依存しているサービスを提供していると後者の決断もなかなか難しいので頭を抱えることになりそう。

今回のこれはかなり大きな衝撃ですが、長い目で見ればこれはまだ序の口なんだろうなと思います。
古い技術で持ちこたえているようなサイトは今後数年で一気に減らすんじゃないかなと。
いまはまだ、探そうと思えば20年前のキッズが作った個人サイトもないわけではないですが、
Yahoo! GeocitiesとInfoseekのサービス終了でその数は一気に減り、
そしてこれからのAI時代でトドメを刺されることになるのではないでしょうか。
個人的に今回はInternet Archiveも影響を受けてサービス停止中とのことですが、ここの存続が気になります。
Internet Archiveは本家が消してしまったサイトも収集して保存されているわけですが、
古いサイトを抱えているということはあらゆる面でAIにとって格好の餌食とも言えます。
とはいえ、個人としては「それでも存続はしてほしい」と無責任なことしか言えないんですけどね。

自分がネットを知ったころの個人サイト全盛期でサイトを立ち上げた人は、
……まぁ、とっくの昔にみんな卒業しているわけですが、今回の件でさらに振るい落とされていったのではないでしょうか。
もうこれからは個人サイト運営なんて物好きがやると言われかねない世の中に……もうなっている気がしないでもない。

ロシアのハッカー集団が狙い撃ちにしていると言われている日本企業の個人情報流出フィーバー問題。
大きく話題になったレンタカーの免許証画像流出について自分は被害を受けませんでしたが、
一方でいくつかのサービスからはお詫びのメールも届いていて、
氏名、現住所、電話番号あたりはもう漏れまくっているものと思われます。

とはいえ、1Passwordに登録されているサービス数は積もりに積もって540。
これを全部検査していまから対策するのは遅すぎるし、もうあんまり意味がありません。
あるとすれば小さなECサイトなどでクレカ情報を保存している可能性がある場合は削除すべきでしょうが、
最近はもうAmazonくらいしか使っていないので特に問題なし。
よりプライバシーレベルの高いNotion、Gmail、Dropbox、Evernote、ChatGPTなどが流出したらヤバいですが、
これらが流出したらもう国内だけの騒ぎではなくなりそう。
……念のため、Evernoteなどの使っていないオンラインメモサービスからは完全撤退した方がいいかもしれません。
これらは黎明期の創作ノートや非常にプライバシーレベルの高い情報も含まれており、
しかもそれなりの数があって撤退は面倒です。
しかしこういうのを放置しておくと後々後悔しそうな雰囲気がぷんぷんします。

ハッカーは基本的に個々人のアカウントではなく、企業のシステムそのものの脆弱性を突いているようです。
共通しているのは、これまで攻撃されているのはあくまでも既存のシステムに脆弱性を残したまま運用しているところを
ハッカーに見つけられて突っつかれているというケースで、
AIがあるからといって未知の方法で堅牢なセキュリティを無理やり突破した、というようなことではないらしいです。
「ショップサーブ」というECサイトを提供するシステムでは単純にwebアプリに脆弱性があって突破されたみたいだし、
ソースネクストという会社はAPIに脆弱性があってそこから会員情報を盗み出されたようです。

自分のサイトは個人情報を置いていないし費用対効果も悪いはずなのでそうそう狙われはしまいと思っていますが、
もし脆弱性があればAIに見つけられて見せしめにやられる、という可能性はゼロではないと思っています。
もう漏れた個人情報はどうにもならないですが、先回りしてできることはやっておきたいですね。