10月21日にアンラボの公式サイトで「PHP で重大な脆弱性2件を確認…Web サーバーへの攻撃リスクで緊急アップデートが必要」が公開された後、本文で引用した「韓国国内の PHP サーバーの IP アドレスが約11万件」という数値の根拠について、多くの問い合わせが寄せられた。本記事では、この数値の集計方法と、数値を読み解く際の注意点について説明する。
はじめに
「約11万件」は、韓国国内の Web サイトを一つずつ数えた結果ではない。インターネットに接続されたサーバーやサービスを検索できるインターネット資産検索エンジンで、「PHP」と識別された検索結果の件数だ。
したがって、この数値を韓国国内の Web サイト数や、脆弱性の影響を受けるサーバー数として捉えてはならない。詳しくは、後述の「数値を読み解く際の注意点」で説明する。
検索方法と検索結果の総件数
アンラボ ASEC は、米国、韓国、中国の民間事業者が提供する3つのインターネット資産検索サービスで、PHP を使用するサービスを検索した。本記事では各サービスを A社、B社、C社と表記する。使用した検索条件は以下のとおりだ。
- A社:
host.services.software: (product = "php") - B社:
product: php - C社:
app="php"
|
検索サービス |
検索結果の総件数 |
|---|---|
|
A社 |
3,035,754件 |
|
B社 |
852,802件 |
|
C社 |
19,093,049件 |
各サービスの検索結果における上位20の国・地域は以下のとおりだ。サービスによって集計基準が異なるため、表の数値は同じサービス内でのみ比較する必要がある。
A社の検索結果：上位20の国・地域
|
順位 |
国・地域 |
件数 |
総件数に占める割合 |
|---|---|---|---|
|
1 |
米国 |
650,463 |
21.4% |
|
2 |
ドイツ |
272,951 |
9.0% |
|
3 |
中国 |
237,542 |
7.8% |
|
4 |
フランス |
166,591 |
5.5% |
|
5 |
日本 |
150,757 |
5.0% |
|
6 |
韓国 |
125,859 |
4.1% |
|
7 |
ロシア |
105,481 |
3.5% |
|
8 |
香港 |
101,822 |
3.4% |
|
9 |
ブラジル |
89,464 |
2.9% |
|
10 |
イタリア |
80,332 |
2.6% |
|
11 |
英国 |
80,117 |
2.6% |
|
12 |
オランダ |
74,374 |
2.4% |
|
13 |
シンガポール |
65,163 |
2.1% |
|
14 |
インド |
64,239 |
2.1% |
|
15 |
カナダ |
58,579 |
1.9% |
|
16 |
スペイン |
57,871 |
1.9% |
|
17 |
インドネシア |
47,970 |
1.6% |
|
18 |
台湾 |
45,520 |
1.5% |
|
19 |
アイルランド |
33,292 |
1.1% |
|
20 |
オーストラリア |
32,569 |
1.1% |
アンラボの先の記事で言及した「約11万件」は、A社の検索結果に基づく数値だ。10月21日に検索した韓国の結果は112,183件だったが、10月22日には125,859件となった。検索結果は調査時点によって変動することがある。
B社の検索結果：上位20の国・地域
|
順位 |
国・地域 |
件数 |
総件数に占める割合 |
|---|---|---|---|
|
1 |
米国 |
233,477 |
27.4% |
|
2 |
日本 |
69,427 |
8.1% |
|
3 |
ドイツ |
48,627 |
5.7% |
|
4 |
韓国 |
47,209 |
5.5% |
|
5 |
中国 |
45,518 |
5.3% |
|
6 |
フランス |
40,691 |
4.8% |
|
7 |
オランダ |
31,018 |
3.6% |
|
8 |
英国 |
22,884 |
2.7% |
|
9 |
シンガポール |
21,749 |
2.6% |
|
10 |
ブラジル |
20,233 |
2.4% |
|
11 |
イタリア |
17,767 |
2.1% |
|
12 |
インド |
17,037 |
2.0% |
|
13 |
カナダ |
16,562 |
1.9% |
|
14 |
オーストラリア |
12,862 |
1.5% |
|
15 |
香港 |
12,784 |
1.5% |
|
16 |
インドネシア |
10,930 |
1.3% |
|
17 |
台湾 |
10,672 |
1.3% |
|
18 |
メキシコ |
9,703 |
1.1% |
|
19 |
アイルランド |
9,648 |
1.1% |
|
20 |
スペイン |
8,353 |
1.0% |
B社の検索結果の総件数は852,802件で、A社の約28%に相当する。韓国は47,209件で4位だった。この差も、実際の PHP サーバー数の違いというより、サービスごとの調査範囲や集計単位の違いによるものと捉えるのが妥当だ。
C社の検索結果：上位20の国・地域
|
順位 |
国・地域 |
件数 |
総件数に占める割合 |
|---|---|---|---|
|
1 |
米国 (US) |
100,096,425 |
44.3% |
|
2 |
中国 (CN) |
31,796,955 |
14.1% |
|
3 |
ドイツ (DE) |
11,837,540 |
5.2% |
|
4 |
香港 |
10,562,763 |
4.7% |
|
5 |
シンガポール (SG) |
7,864,949 |
3.5% |
|
6 |
日本 (JP) |
5,878,224 |
2.6% |
|
7 |
フランス (FR) |
5,804,484 |
2.6% |
|
8 |
英国 (GB) |
4,294,377 |
1.9% |
|
9 |
オランダ (NL) |
4,011,204 |
1.8% |
|
10 |
ロシア (RU) |
3,343,903 |
1.5% |
|
11 |
カナダ (CA) |
2,903,649 |
1.3% |
|
12 |
ブラジル (BR) |
2,858,407 |
1.3% |
|
13 |
韓国 (KR) |
2,848,656 |
1.3% |
|
14 |
インド (IN) |
2,691,022 |
1.2% |
|
15 |
ポーランド (PL) |
2,035,516 |
0.9% |
|
16 |
イタリア (IT) |
2,000,012 |
0.9% |
|
17 |
スペイン (ES) |
1,972,981 |
0.9% |
|
18 |
インドネシア (ID) |
1,829,070 |
0.8% |
|
19 |
オーストラリア (AU) |
1,736,216 |
0.8% |
|
20 |
英領バージン諸島 (VG) |
1,571,503 |
0.7% |
C社では、A社や B社よりも検索結果が大幅に多かった。韓国は2,848,656件で13位だった。これは、実際にそれだけの PHP サーバーや Web サイトが存在することを意味するのではなく、結果の数え方が異なるためと考えられる。
検索サービスによって数値が異なる理由
検索結果の「1件」が何を意味するかは、サービスによって異なる。IP アドレス一つを1件と数えるサービスもあれば、IP アドレスとポートの組み合わせや、ドメインごとに1件と数えるサービスもある。集合住宅を「建物1棟」と数えるか、「住戸100戸」と数えるかによって数値が変わるのと同じだ。
.特に PHP は、複数の Web サイトで1台のサーバーを共用する「共有ホスティング」環境で広く使用されている。この場合、サーバーが1台でもドメインごとに別の検索結果として数えられることがあり、類似した検索条件でも、サービスによって結果に数倍の差が生じる場合がある。さらに、調査範囲や検索時点も異なるため、サービス間で数値を比較したり、合算したりすることは適切ではない。
数値を読み解く際の注意点
- .Web サイト数ではない。 A社の結果はホスト（IP アドレス）単位で集計されている。そのため、対外的に説明する際は、「韓国国内の Web サイト数」ではなく、「韓国国内で PHP が識別されたホストの検索結果件数」と表現するほうが正確だ。
- 脆弱性の影響を受けるサーバー数ではない。 検索条件には PHP のバージョンや脆弱性の有無を確認する基準が含まれていないため、特定の脆弱性の影響を受けるサーバー数とは見なせない。
- 「韓国国内」は位置情報に基づく分類だ。 検索サービスの国別位置情報に基づいて分類した結果であり、韓国の企業や機関が運営するすべてのサイトを示すものではない。
まとめ
検索エンジンによって収集範囲や集計基準が異なるため、世界全体や韓国国内で PHP を使用するサーバーや Web サイトの正確な数を把握することは難しい。しかし、重要なのは正確な数値よりも、その規模だ。A社では約300万件、C社では約1,900万件の PHP 関連の検索結果が得られるほど、PHP は世界中の Web 環境で広く使用されている。韓国国内でも、A社の検索結果で125,859件が確認された。
今回の脆弱性は、現在サポートされている PHP 8.2～8.5だけでなく、サポートが終了した旧バージョンも含め、事実上ほとんどの PHP バージョンに影響する。そのため、セキュリティアップデートを適用していない PHP サーバーは、国や地域を問わず攻撃対象となり得る。PHP ベースのサービスを運用している場合は、使用中のバージョンを確認し、速やかに最新のセキュリティ修正版へアップデートする必要がある。
アンラボは、お客様の被害を最小限に抑えられるよう、関連動向の監視を継続し、新たに確認された情報を速やかに共有していく。
関連 IOC および詳細な解析情報は、AhnLab の次世代脅威インテリジェンスプラットフォーム 「AhnLab TIP」 サブスクリプションサービスを通して確認できる。
Categories: 脆弱性