世界中のウェブサイト・サービスで広く使われているPHPに重大な脆弱性「PHP2Shell」が発見され、緊急アップデートが実施された。Cloudflareの報告によると、脆弱性の公表前は悪用試行が数千件程度にとどまっていたが、公表後はわずか12時間ほどで数百万件単位にまで爆増したという。Cloudflareは自社顧客向けに新たなファイアウォールを開発・有効化して対応している。
脆弱性情報の「公表タイミング」がいかに攻撃者の動きに直結するかを、今回の数字は非常にわかりやすく示しています。公表前の数千件という試行数はいわゆるスキャニングノイズの範囲ですが、公表後12時間で数百万件というのはだいぶエグい跳ね上がり方です。
「公表」が引き金になるメカニズム
脆弱性が公開されると、攻撃者はCVE情報やセキュリティ研究者のPoC（概念実証コード）をもとに攻撃ツールを短時間で整備します。PHPは世界中のウェブサーバーで動いており、スキャンツールを走らせるだけで攻撃対象の候補が大量にリストアップされます。今回の急増スピードはその典型で、「脆弱性が知られてからパッチが当たるまでの空白時間」が実際の被害ウィンドウになることを改めて示しています。
Cloudflareがファイアウォールを即座に開発・有効化したことは、CDN・DDoS防御事業者がこうした緊急時の「最後の防衛線」として機能し得ることを示す事例でもあります。ただし、Cloudflareの保護が有効なのはあくまでその顧客に限られます。自前サーバーで運用しているケースや、Cloudflare以外のインフラを使っているサービスは、やはり自力でのパッチ適用が最優先です。
運営者がとるべき対応の優先順位
PHPを使ったサービスを運営しているなら、まず確認すべきは動作しているPHPのバージョンと、今回の緊急アップデートが適用済みかどうかです。一般にPHPのアップデートは後方互換性に気を使ったリリースが多いとはいえ、本番環境での動作確認は必要なので「後でやる」が続きやすい作業でもあります。今回の数字を見ると、「後で」のコストがどれだけ大きいかはかなり明確です。
【編集部補足】WAF（Webアプリケーションファイアウォール）を導入していない環境では、Cloudflareのような外部サービスへの乗り換えを検討する価値はあります。ただし導入自体にコストと設定工数がかかるため、まずはパッチ適用が現実的な第一手です。WAFはあくまで多層防御の一要素という位置づけで考えると判断しやすいでしょう。
関連サービス（広告）
WordPress でブログ運営を始めたい方には、月額121円（税込）から運用できる ロリポップ！レンタルサーバー
と、独自ドメインを国内最安級で取得できる ムームードメイン
の組み合わせが王道です。
