オープンソースのプログラミング言語「PHP」のインフラで重大な脆弱性2件が見つかり、未更新のサービスでは顧客情報が流出する恐れがあるとして、利用者にも注意が呼びかけられている。

米Business Insiderが22日（現地時間）に報じたところによると、OpenAIは自社の人工知能（AI）モデルを用いた研究の過程でこの脆弱性を発見した。主な影響を受けるのはWebサイトの運営者だという。

一方、ECサイトのように利用者情報をPHPベースのシステムに保存しているサービスで、セキュリティアップデートが適用されていない場合、攻撃者に悪用されて顧客情報にアクセスされる可能性がある。

米国家安全保障局は、このうち1件について、機微データの窃取やサービス妨害、さらなるネットワーク侵入に悪用される恐れがあると警告した。

実際、脆弱性の公開直後から悪用の試みも相次いでいる。アプリケーションセキュリティプラットフォームを手がけるAikido Securityの共同創業者、マデリン・ローレンス氏は、公開から1日でCloudflare上に数百万件規模の悪用試行が報告されたと明らかにした。

ローレンス氏は、ソフトウェアを自ら開発しない人でも、こうしたシステムに依存する企業やサービスとつながっている以上、影響は広範に及び得ると説明した。

関係者の間では、当面はWebサイトの利用に慎重になるべきだとの声も出ている。暗号資産取引所Binanceの共同創業者、チャンポン・ジャオ氏はXで、今後数日間はどのWebサイトを訪れる場合でも特に注意が必要だと投稿した。

Webサイト運営者には、PHPのセキュリティアップデートを速やかに適用することが求められる。PHPは公式サイトで適用方法も案内している。

一般利用者には、アカウント保護の強化が推奨される。複数のサイトで同じパスワードを使い回さず、パスワードマネージャーを利用することが望ましい。

あわせて、金融機関からのセキュリティ通知も確認し、メールや銀行口座、パスワードマネージャーには2段階認証を設定するよう呼びかけている。

自動更新を有効にし、少なくとも週に1回は端末を再起動することも推奨された。AI Policy Networkで政策総括を務めるピーター・ワイルドフォード氏はXで、「Claude Code」を使えばノートPC上で更新漏れの有無を確認できると投稿した。

ローレンス氏は、過度に恐れる必要はないとしつつも、情報流出の通知を受け取った場合は、認証情報やデータがダークWebに出回る可能性があるとして、直ちに対応すべきだと強調した。