PHPの件、なんでこんなことになったのか調べてみたら、思ってたより根が深かった。 原因は、PHP本体のメモリ処理のバグ2つ。 メモリ不足で処理が止まった時や、前のアクセスのデータが残ってた時に、壊れたデータをそのまま使っちゃう。 そこを突かれると、ログインなしで外からサーバ上で好きなプログラムを動かせる。 深刻度は10段階で9.2。界隈では「php2shell」(「PHPから、サーバを操作できる状態（shell）まで行ける)って名前つけて呼ばれてる。 しかもApacheでよく使われる「mod_php」って構成だと、サイトのプログラムが動く前に攻撃が成立する実例まであるらしい。 WordPressのセキュリティプラグインが動く前にやられるということ。 で、本当は22日に発表される予定だったのに、20日に海外の掲示板「Hacker News」に情報が漏れた。 投稿はすぐ消されたけど手遅れで、海外のセキュリティ企業が「漏えいは本物」と認めて、攻撃コードっぽいものも出回り始めた。 Cloudflareは「もう攻撃が始まってる」と言って、無料プランも含めた全ユーザーに防御ルールを入れてる。 だから修正版が出る前から、国内だけで50以上の組織がサービスを止めた。 首相まで「今夜中に」って言う事態になった。 でも一番びっくりしたのはここ。 PHPで動いてるサイトの約4割が、まだPHP 7以前らしい。今回、公式の修正が出てないバージョン。 PHP側もさすがにまずいと思ったのか、サポートが終わった7.4〜8.1向けにまで、最低限の修正コードを特別に出してる。 ちなみに、世界のサイトの7割を支えるPHPを、給料をもらって開発してるのは財団の11人だけらしい。