PHPの深刻な脆弱性でオランダ政府・病院サイト相次ぎ緊急停止

世界で最も広く使われるプログラミング言語の一つ、PHPに2件の重大な脆弱性が発見されたことを受け、オランダでは政府機関・医療機関・メディアを含む多数のウェブサイトが緊急停止した。サイトの多くは順次復旧しているが、木曜朝の時点でも一部の重要サービスはオフラインのままとなっている。

何が起きたのか

PHP側は火曜日に2つの欠陥にパッチを当てると発表した。この発表を受け、攻撃者がその脆弱性を突こうと動き出したことが確認され、米サイバーセキュリティ企業Cloudflareが水曜日に攻撃の試みを検知・防御していると公表した。これを機に、政府の電子認証システム「DigiD」やオンライン行政ポータル「MijnOverheid」、国会ウェブサイト、水管理委員会の連合組織、地方自治体が文書管理や会議調整に使うツールなどが次々と予防的に停止された。

匿名犯罪通報サイト「Meld Misdaad Anoniem」や家庭内安全通報ネットワーク「Veilig Thuis」は木曜朝の時点でもまだオフラインのままだ。RTLのニュースサイトとアプリが落ち、公共放送NPOもコンテンツのアップロードシステムを停止。KWF癌基金やオランダ心臓財団などの慈善団体、複数の病院もサイトをオフラインにした。スキポール空港のアプリはリアルタイムのフライト情報表示を停止し、給付機関UWVも利用者が療養・回復を届け出るためのツールの運用を一時中断した。

脆弱性の深刻さと発見の経緯

今回の脆弱性はGoogleが所有するサイバーセキュリティ企業Wizがフォローし、PHPに報告した。Wizによれば、この脆弱性は10年以上前から存在していたとされ、「PHPの歴史、ひいてはソフトウェア史上でも最も深刻な脆弱性の一つ」と位置付けている。さらに注目されるのは、OpenAIとGoogleのAIモデルを活用して8月に発見されたという点だ。AIがソフトウェアの安全性評価に実用レベルで貢献した事例として、セキュリティ業界でも関心を集めている。

オランダ国家サイバーセキュリティセンター（NCSC）は現時点で実際のハッキング被害は確認していないと表明。PHP財団もニュースエージェンシーANPに対し、侵害の証拠はないと述べた。ロブ・ヤッテン首相もSNSでアップデートの即時適用を呼びかけ、法務大臣のダフィット・ファン・ウェールは「多数のサイトが予防措置として停止されたことはデジタル社会に影響を及ぼす」としつつも、「現時点で脆弱性が悪用されている兆候はない」と説明した。

オランダで暮らす人々への影響

行政手続きの多くがデジタル化されているオランダでは、DigiDやMijnOverheidの停止は在住外国人を含む多くの人の日常手続きに直接影響する。今回は「悪用なし」で収まったが、PHPはオランダ国内だけでなく、ベルギー・ドイツ・フランス・フィンランドの政府サイトも停止に追い込むなど、その影響は広く欧州に及んだ。当局はPHPを利用するすべての組織に対し、セキュリティアップデートを直ちに適用するよう改めて強く求めている。復旧状況や今後の動向は引き続き確認が必要だ。