DE — heise online
「涙の谷」：セキュリティ脆弱性で今、攻撃者が優位な理由
セキュリティ2分で読めます
ドイツの政府サイバー専門家は、ソフトウェアに安全上の穴があると攻撃者が有利になっていると述べました。PHPという広く使われる言語で重大な穴が見つかり、攻撃は数分から数時間で作られる一方、修正には時間がかかるという話です。
何が起きたのか
ドイツのサイバー機関で部門長を務めるダニエル・ギレ氏は、今は「涙の谷」にいるかもしれないと語りました。これは、セキュリティにとって厳しい時期が当分続く、という意味です。PHPは多くのWebサイトで使われるプログラミング言語で、そこに重大な安全上の穴が見つかりました。
数字で見るポイント
- 公開された穴を研究すれば、攻撃を数分から数時間で作れる。以前は数週間から数か月かかることが多かった。
- 多くのサイト運営者は、更新を入れてからサイトを再公開するまで数時間から1日以上かかった。
- ドイツの連邦情報セキュリティ庁は、PHPの危険度を「非常に高い」と評価している。
- IBMのX-Forceチームは、今年1月から9月までに、少なくとも10,124件の公開された穴を数えた。昨年の同じ期間より約578%多い。
- AIを使って見つかった穴の半分以上が、高い危険度または重大な危険度と評価された。
なぜ修正が遅いのか
攻撃者はすぐに動けますが、防御側は遅れがちです。修正するには、each システムの持ち主が自分で更新を入れる必要があります。そのため、修正は時間をかけて少しずつ広がります。専門家の中には、将来はAIが安全なソフトウェアを書く助けになるかもしれないと考える人もいます。
なぜ大切なのか
攻撃者の方が速いと、危険なままの仕組みが長く、多く残ります。特にWebサイトや政府のサービスを運営する組織は、素早く更新する必要があります。ただし、専門家も答えはまだはっきりしないと言っています。新しいシステムの作り方の研究も、まだ途中です。
今後注目したい点
- デジタル省が、今回のPHPの件で情報が盗まれたかどうかを確かめるか。
- サイバー機関が計画している、より安全なソフトウェアの研究プログラムが発表されるか。
- 今後数か月で、公開された穴の数がさらに増え続けるか。
- AIを使った新しいOSの考えが、専門家から本格的な支持を得るか。
用語解説
- PHP
- 多くのWebサイトを動かすために使われるプログラミング言語。