No.810 PHP狂想曲

要約 10月23日金曜日の「ナンバー810」の放送では、PHPをめぐる騒動と、それに伴うウェブサイトやネットワークシステムの停止について、マツバラとひめ先生が影響や復旧上の問題を話し合った。障害の背景として、修正パッチが提供されても配布元や管理窓口が利用できず、各システム側で確認・対応しにくい状況が語られた。予約や医療などのサービスがウェブに依存することのリスク、情報をサービス側に保存する利便性と危険性、今後のバックアップや自動化のあり方も論点となった。具体的な対応方針は決まらず、影響や復旧状況を引き続き注視する段階として議論が終わった。 障害の広がりと復旧上の制約 ひめ先生は、ウェブシステム同士が連携している例や、重要な情報インフラに関わるウェブページへの影響を挙げ、観光庁、気象庁、厚労省のサイトなどが停止したと説明した。マツバラは、日本のサービスで停止が相次いだ一方、MetaやGoogleなど海外のサービスでは同様の停止がほとんど見られなかったという印象を述べた。また、サーバー管理会社の窓口にもアクセスできず、障害状況を確かめにくかったという。ひめ先生によれば、修正パッチが配布されても大元が停止していて適用できないケースがあり、各システムの担当者が対応を進めにくい状態だった。マツバラは、パッチ適用後に再開したところも比較的多いと述べた。 自社サイトで発生したエラー マツバラは、自社ウェブサイトの設置先をセキュリティ上の理由で明かさないとしたうえで、予約などの仕組みを含むシステムを構築している最中に停止が起きたと説明した。停止直後に多数のエラーが届き、窓口が塞がれたため、内部で何が起きているのか確認できず、エラーがループしているような状態になったという。ひめ先生は、システム担当者の中には金曜日時点でも作業が終わっていない人がいるのではないかと懸念した。 認証情報と利用者データのリスク マツバラは、パスワードの使い回しなど基本的なセキュリティ上の注意を促した。また、ログインや次回以降の決済を便利にするため、氏名やクレジットカード番号などをサービス側に登録する利用が広がり、データを預けた状態になっていることがリスクにもなると指摘した。ひめ先生は、サイバー攻撃が相次ぐ中で情報が抜き取られたと述べたが、会話では対象や規模などの詳細は示されなかった。 脆弱性の公表と医療現場への影響 マツバラは、脆弱性情報が公表されたのは修正パッチをリリースできる見通しが立った段階だったのではないかと説明した。修正可能になる前に情報を公開すれば、脆弱性が悪用されるおそれがあるためだという。また、医療機関では電子カルテを閲覧できない、予約システムが停止して当日の患者を確認できないといった問題が起こり得ると話した。ウェブシステムを利用する組織全般に大きな影響が及んだというのが、両者の認識だった。 バックアップと重要インフラの継続性 マツバラは、予約情報などを事前に紙へ印刷しておく必要があるのか問いかけた一方、それでは時代に逆行するとも述べ、望ましいバックアップ方法は未解決の論点として残した。ひめ先生は、自動化が進む中で起きた今回の騒動を踏まえ、今後1週間ほどの状況に関心を示した。マツバラは、マイナンバーカードの顔認証などの認証作業は止まらなかったと述べ、今回の障害は医療に限らずさまざまなインフラに関わると確認した。次回もサービスが適切に稼働することへの期待は示されたが、具体的な対策や担当者は定められなかった。 ひめ先生は、ウェブシステム間の連携や、観光庁・気象庁・厚労省などの情報提供ページへの影響を挙げた。マツバラは、日本のサービスでは停止が相次いだ一方、MetaやGoogleなど海外のサービスでは、同じような停止はほとんど見られなかったという見方を示した。また、サーバー管理会社の窓口にもアクセスできず、原因や影響を確認しづらい状況があったという。ひめ先生は、修正パッチが配布されても配布元が停止していれば各システム側で適用できないと説明し、マツバラはパッチ適用後に再開したサービスも比較的多いと述べた。 マツバラは、自社サイトの設置先はセキュリティ上明かさないとしつつ、予約機能などを含むシステムを構築している最中に停止が起きたと説明した。停止直後にエラーが多数届いたが、窓口が利用できなくなったため、内部の状態を確認できず、エラーがループするような状況になったという。ひめ先生は、金曜日時点でも対応を終えられていないシステム担当者がいる可能性を指摘した。 マツバラは、パスワードの使い回しなど基本的な対策の重要性に触れた。氏名やクレジットカード番号をサービスに登録し、次回から入力を省ける利便性が広く使われる一方、情報をサービス側に保持させていることがリスクにもなると指摘した。ひめ先生は、サイバー攻撃が相次ぐ中で情報が抜き取られたと述べたが、具体的な情報の種類や被害の範囲はこの会話では明らかにされなかった。 マツバラは、脆弱性の存在が公表されたのは、修正パッチを提供できる見込みが立ってからではないかと説明した。修正前に公表すれば脆弱性が悪用されるおそれがあるため、という理由を示した。また、医療機関では電子カルテを確認できない、予約システムが止まり当日の患者を把握できないといった支障が起こり得ると述べた。ひめ先生も、ウェブシステムを使う組織に広く影響が及んだとの見方を示した。 マツバラは、予約情報を前日に紙へ出力するようなバックアップが必要なのか問いかけたが、それでは時代に逆行するとも述べ、具体策は結論づけなかった。ひめ先生は、自動化が進む中で起きた障害について、今後1週間ほどの推移を注視したいとした。マツバラは、厚労省のウェブサイトは停止していた一方、マイナンバーカードの顔認証などの認証作業は止まらなかったと述べた。医療以外のインフラにも関わる問題として、次回もシステムが稼働することへの期待を示して議論を締めくくった。 該当する情報はありません。明示的なアクションアイテムは確認されませんでした。 PHPをめぐる脆弱性騒動で、各種ウェブシステムの停止や利用への影響が話題となった。出演者によると、修正パッチは配布されたものの、サーバー管理会社などの窓口自体が停止していて、パッチ適用や状況確認ができないケースがあった。 パッチ適用・アップデート後に再開したサービスも多い一方、放送時点でも対応が終わっていないシステム担当者がいるのではないかとの見方が示された。 観光庁、気象庁、厚労省のウェブサイト停止や、医療機関で電子カルテや予約システムを利用できない事例が挙げられた。カードの顔認証など、止まらなかった機能もあったと評価された。 出演者は、日本のサービスで停止が相次いだ一方、MetaやGoogleなど海外サービスでは目立った停止はほとんどなかったと述べた。 出演者側のウェブサイトも停止し、エラー通知が増えたうえ、窓口が塞がれて原因や内容を把握できず、エラーが内部でループする状態になったという。サイトの設置先はセキュリティ上の理由で明かされなかった。 出演者は、脆弱性の公表は修正パッチを提供できる段階になってから行われたのではないかとの見方を示した。穴を塞ぐ前に公表すると悪用される懸念がある、という説明だった。 パスワードの使い回しへの注意が呼びかけられた。また、氏名やクレジットカード番号などをサービス側に保存して利便性を高める仕組みについて、情報を預けることがリスクにもなると指摘された。情報が抜き取られたとの発言もあったが、対象や範囲は示されていない。 予約などの自動化が進む中、障害時にどう業務を継続するかは未解決の論点として残った。予約情報を前日に紙に出力しておく案も挙がったが、紙に戻ることへの懸念も示された。 今後1週間ほどの状況に関心が示され、今回の停止を切り抜けたシステムが次回も継続して動くことへの期待が述べられた。対応策やバックアップ方法について、具体的な決定はなかった。 明示的なアクション項目は確認されなかった。 チャプターPHPをめぐる障害と各種ウェブサービスの停止‎自社サイトへの影響とエラー確認の困難‎パスワード管理とサービスに預ける個人情報‎脆弱性公表のタイミングと医療システムへの影響‎事前バックアップとインフラの継続性‎行動項目PHP脆弱性騒動とウェブサービス停止への懸念現状と影響セキュリティと継続運用の論点アクション項目