PHPショック過小評価は適切ではない

　PHPはウェブサイトやアプリケーションを作成する際、サーバー側の処理を行うプログラムで、正式名称を「Hypertext Preprocessor」という。1995年に、カナダ出身の技術者ラスマス・ラードフ氏が、自分のホームページを管理する道具として公開したのが初めといわれている。

　ウェブを開発するためには、「C」や「Java」などの言語もあるが、CやJavaを使う場合、書いたプログラムを機械が読める形に変換する（コンパイルという）作業が必要だ。その際、機械が、コードの書き間違いなどを点検する。その作業の分だけ手間がかかる。

　一方、PHPは変換が不要。しかもウェブページの設計図である、HTMLに直接書き込める。コードを作成した後、すぐにウェブ動作を確認でき、初心者でも一定の研修を積めば短期間でサイトを作ることができる。

　また、PHPは、無料のオープンソースで利用できる。格安のレンタルサーバーの多くが標準で対応し、世界で広く使われるブログ作成ソフトの「ワードプレス」も、PHPをベースに開発された。低コストと使いやすさが評価され、大手企業から個人まで世界のウェブサイトの7割で利用されている。

　それだけに、脆弱性発見の公表は世界に衝撃を与えた。主な対応として、日米欧などの政府や企業は、ウェブサービスを予防的に止めざるを得なくなった。米ホワイトハウスと、国家安全保障局（NSA）は修正版の適用を急ぐよう呼びかけた。

　わが国では、23日の午後2時の時点で、停止が通知された500以上のサービスのうち再開したのは約43％にとどまったようだ。高市早苗首相も対応を呼びかけた。23日の夕刻の時点で、確認された深刻な被害はまだなかった。

　被害報告がないといって、PHPショックを過小評価することは適切ではない。重要なポイントは、10年以上も認知されていなかった脆弱性が、今になって見つかったことだ。

　専門家が検知できていない脆弱性を、企業や個人が見つけることは難しい。脆弱性に気付かず、10年以上も多くのユーザーが使っていたことは見逃せない。今回のPHPショックの潜在的な危険性を考えると、これまでに発覚したシステムリスクの中で最大の問題と指摘するITの専門家もいる。