感想一覧

いろいろ気になったので。

①なろうの二段階認証について
なろうが二段階認証を強制したのはPHPの脆弱性とは無関係と考えられます。
なぜなら、今回問題になったPHPの脆弱性はログインすることなく攻撃ができる程の致命的なものでした。
しかしながら公式ブログ「【重要】第三者によるログインの恐れと今後の対応について」からも、あくまで攻撃は個人アカウントであったことから、PHPの脆弱性とは異なる攻撃がなされたと読み取れます。
固有名詞は避けますが最近様々ななサービスから個人情報が漏洩しています。
おそらくそれら情報からメールアドレスやパスワードによるリスト攻撃がされたと考えるのが妥当ではないでしょうか。

②誰が攻撃方法を発見したか、オープンAIの関わりについて
8月にOpenAIが主催するプロジェクト（OSSの脆弱性発見やその対応支援）で脆弱性に対する攻撃方法が発見されたのは事実ですが、
OpenAIが先走ってPHPの脆弱性をPHPの利用者に公表した事実はありません。
先走って公開したのは、個人の開発者（本文中の言葉を借りるなら『とある人物』）、セキュリティ会社です。
彼らがPoCと呼ばれる脆弱性を検証した動画を誤って公開した（個人の方は意図的に公開した）ことが混乱の原因です。

> 『一日早めることにはなったが、結果、ハッカーよりも早く行動できた』というのが一応オープンAIの言い分らしいのですが

上記のニュアンスの発信をしたのは個人の開発者（とある開発者）です。
OpenAIの誰かが代表して発信したものではありません。

③PHPの脆弱性はいつからあったか、いつ発見されたか
今回の脆弱性が発覚したのは確認できる範囲では2024年です。
ただしこの脆弱性を用いた攻撃、エクスプロイトと呼ばれる攻撃方法が発見されておらず、対応がされていませんでした。
そして有効な攻撃方法が確立されたのが2026年8月です。
では本文中の『十年前から見つけられていた』とはいったい何なのか。
リンクを掲載していますがtech-goの投稿に書かれている通り、「10年前のPHP 5.4に脆弱性があった」です。
脆弱性があったことと、脆弱性が見つけられたことは別です。

整理すると次の通りです。

1. 10年前にリリースされたPHP 5.4のソースコードに脆弱性があったが、誰も気づかなかった。
2. 2024年にPHPのソースコードの脆弱性が発見されたが、攻撃方法がないとされ対応を保留した。
3. 2026年8月に脆弱性に対する攻撃方法が発見されたため対応した。

脆弱性関連は皆さん不安に思うこともあるでしょう。
色々情報源を読み漁るかもしれません。
でも一文を読み違えるとそれだけで意味が変わってしまいます。

ホワイトハッカー！
政府もコロンのエッセイ読んでるのかな（笑
したら下村努さんみたいな人がたくさんくるかしらー？！

　かなり詳しくまとめていただいて助かりました。

　今回の件、最初聞いた時は「なんのこっちゃ？」と思いましたが、ちょっと調べると個人ユーザーに出来ることはあまり無いことが知れて一安心（※自分自身で出来ないことを心配してもしゃあないので）。

　ところが、いきなり『なろう』が2段階認証になってびっくり。対岸の火事じゃなくなってました。

　詳しいことは分かりませんが、一部のユーザを切る覚悟で２段階認証を採用しなければヤバいぐらいの大穴だったってことは認識できました。とばっちりを受ける方が、1人でも少なくなることを願って止みません。

P.S.私も出版社名しか思い浮かびませんでした。

知っているプログラミング言語がCOBOLまでで止まっていたので、最初にPHPと聞いた時「出版社かな？」と思いました。いや笑い事ではないんですが。
開発元は着手しているでしょうけど、C言語系などもまだ現役でしょうし、古いものから新しいものまで使われている全てのプログラミング言語の点検が必須とか本当に大変だなぁ、と。
脆弱性を見つけるのも攻撃するのもAI。すごい時代が来たものです。

とても参考になりました。ありがとうございます。
PHPは、以前少し扱っていたので（最近はまったくなし）ビックリはしなかったのですが、時系列までわかりやすくまとめて下さったので有難かったです。