PHPの脆弱性～本物サイトが危険～
今、インターネットの世界で「世界中のWebサイトの約7割に影響がある」と言われる、過去最悪レベルの大きな問題（PHP2Shellという弱点）が発生しています。
ニュースでは「怪しいサイトでの買い物を控えて」と報道されていますが、実はそれだけでは不十分です。
私たちが普段何気なく行っている「ある日常的な行動」が、今とても危険な状態になっています。
今回は、一般の利用者が今すぐ実践すべき「本当の防衛策」を分かりやすく解説します。
そもそも「PHP」ってなに？
ニュースで連呼されている「PHP（ピー・エイチ・ピー）」とは、Webサイトの裏側で動いている「仕組み（プログラム）」のことです。
インターネットのページには、大きく分けて2種類あります。
• 普通のページ： 誰が見ても同じ画面（企業の会社概要や、ただのブログ記事など）。
• 動くページ（PHPが活躍）： 見る人やタイミングによって画面が変わるページ。
動くページ例：Amazonのマイページ（自分の名前が出る）、ログイン画面、ネットショップの買い物かご、問い合わせフォームなど。
PHPは、いわば「Webサイトの裏方にいるシェフ」のようなものです。
あなたが「ログイン」や「購入」のボタンを押したときに、裏側の厨房（サーバー）で「このパスワードは合っているかな？」と計算して、次の画面をパッと作ってくれる役割を持っています。
今回のニュースは、この「裏方のシェフ（PHP自体）が、泥棒を勝手に中に入れてしまう大穴（弱点）」が見つかった、という状態です。
今回のトラブルが「過去最悪」と言われる理由
多くの人は「セキュリティソフトを入れているから大丈夫」「本物のサイト（URLが正しいサイト）だから安全」と思いがちです。
しかし、今回の問題はその常識が一切通用しません。
お店の裏口（サーバー）自体が破られている状態なので、以下のような最悪の事態が起こる可能性があります。
• セキュリティソフトが反応しない（自分のパソコンやスマホは正常なため）
• URLが「本物」でも画面が書き換えられている（鍵マークがついていても安心できない）
• 文字通り「見た目は本物のサイト」のまま情報が盗まれる
つまり、私たちが画面の見た目だけで「偽物か本物か」を見破ることはプロでも不可能です。
ニュースが言わない「ログイン」の盲点
テレビやネットのニュースでは、「クレジットカード情報の入力を控えて」「怪しいリンクをクリックしないで」という注意喚起（買い物や閲覧の制限）ばかりが目立ちます。
しかし、本当に気をつけなければいけないのは「色々なサイトへのログイン」です。
犯人の目的は、クレジットカード番号だけではありません。
中小のサイトや個人のファンクラブ、地域の予約サイトなどにあなたがログインした瞬間に、「ID（メールアドレス）とパスワード」のセットを盗み出すことも狙っています。
なぜなら、多くの人が「同じパスワードを色々なサイトで使い回している」のを知っているからです。
安全対策が遅れている小さなサイトからパスワードを盗み、それを使ってAmazonやネット銀行、SNSなどの「超大手サイト」に乗っ取りを仕換えるのが犯人の常套手段です。
Google・Apple・Microsoftなどの大手サービスは？
「ログインが危険なら、スマホやパソコンも使えないの？」と思ってしまいますが、以下の超大手サービス自体のログイン画面は、今回の問題の影響を受けません。
• Googleのアカウント（YouTubeやGmailなど）
• Apple ID / iCloud（iPhoneの設定など）
• Microsoftアカウント（WindowsやOffice365など）
これらの大手IT企業は、今回の弱点が見つかった「PHP」ではなく、独自に作った頑丈な別のプログラムを使ってシステムを動かしています。
そのため、今回のハッキング攻撃を仕掛けること自体が不可能です。
いつも通り安心して利用して構いません。
ただし、1点だけ「盲点」があります
GoogleやAppleの公式サイトでログインするのは問題ありませんが、どこかの小さなサイトやネットショップの画面で「Googleでログイン」「Appleでサインイン」というボタン（連携ログイン）を押す行為は、今週は少し控えたほうが賢明です。
ログインボタンの引っ越し先（アクセスしたサイト）がもし古いPHPで動いていて、すでにハッキングされていた場合、連携した情報やそのサイト内の個人情報が漏洩するリスクがあるからです。
今すぐ実践すべき「3つのしない」
この世界的な大穴は、現在各サイトの管理人たちが死に物狂いで修理（アップデート）を進めています。
インターネット全体が落ち着きを取り戻すまでの数日間（特に今週中）は、以下の「3つのしない」を徹底してください。
1. 「有名ではないサイト」にログインしない
毎日使う超大手のサービスはすでに対策済みですが、「久しぶりに使うサイト」や「個人・中小のサイト」でのログインは数日間控えましょう。
2. 「個人情報・クレカ情報」を入力しない
ネットショッピング、オンラインサービスへの新規登録、問い合わせフォームの利用など、文字を打ち込む作業は数日間「お休み」にするのが一番安全です。
3. 「怪しい・古いサイト」を見に行かない
更新が止まっている古いブログやサイトは、開くだけでウイルスを送り込まれるリスクが普段より高まっています。
まとめ
今回の問題に対する最大の対策は、「そもそも情報を入力しない（犯人に渡すデータそのものを発生させない）」という選択です。
「買い物をしなければ大丈夫」と思わず、不要不急のログインや会員登録は数日間だけ先送りにしましょう。
ちょっとした「ネットのお休み」が、あなたの大切な情報を守る最強の盾になります。
--------------------------------------------------------------------------
今回、本物サイトが危険であることが問題とされている。
だが、本物サイトが危険であるリスクは以前からあった。
「オープンリダイレクト」「クロスサイトスクリプティング」など。
これらはサイトの脆弱性に起因するもので、セキュリティソフトも役に立たないｗ
あと、今回と同じようなゼロデイ脆弱性が見つかった4大事例は以下になる。
1. Log4Shell（2021年）— 史上最も広範に影響した脆弱性
• 対象： Javaのログ出力ライブラリ「Apache Log4j」
• 深刻度： CVSSスコア 10.0（最大値）
• 特徴と規模：
インターネット上の数億台のデバイスや、Amazon、Google、Appleをはじめとする数多くの大手クラウドサービス、企業システムに組み込まれていたため、「史上最悪の脆弱性」 とも呼ばれました。
攻撃者は、ログに特定の文字列を含めるだけで、外部からサーバーを完全に制御（リモートコード実行）できる極めて危険なものでした。
2. EternalBlue（2017年）— 史上最も破壊的なランサムウェアを招いた脆弱性
• 対象： Windowsのファイル共有プロトコル（SMBv1）
• 特徴と規模：
もともとは米国家安全保障局（NSA）がサイバー監視のために密かに保有していたゼロデイ脆弱性でしたが、ハッカー集団に盗まれてネット上に暴露されました。
この脆弱性を悪用して作られたランサムウェア（身代金型ウイルス）「WannaCry」や「NotPetya」が世界中で爆発的に感染し、各国の病院、鉄道、大手企業、政府機関のネットワークが麻痺し、世界全体で数十億ドル以上の損害を出しました。
3. Shellshock（2014年）— インフラの根幹を揺るがした脆弱性
• 対象： LinuxやUNIX系OSで広く使われているコマンドシェル「Bash」
• 特徴と規模：
インターネット上のWebサーバーの多くがLinuxで動いていたため、世界中のサーバーやIoT機器（ルーターや防犯カメラなど）が瞬時に危険に晒されました。公開されてから20年以上もコードの中に眠っていたバグであり、わずか数行のコードで遠隔からコマンドを実行される恐れがあったため、IT業界に凄まじい衝撃を与えました。
4. Heartbleed（2014年）— 暗号化の信頼を崩壊させた脆弱性
• 対象： 通信を暗号化するためのオープンソースライブラリ「OpenSSL」
• 特徴と規模：
厳密には「公表後すぐに修正パッチが出た」ため定義上のゼロデイとは少し異なりますが、実質的なインパクトはゼロデイと同等以上でした。
世界中のWebサイトの約3分の2が使用していた技術に欠陥があり、サーバーのメモリ内にある暗号化キーやユーザーのパスワードが外部から丸見えになってしまうという、インターネットの前提（暗号化通信の安全）を揺るがす大事件となりました。
ネットを利用する場合、情報漏えいのリスクを意識するしかないと思う。
入力した情報が漏えいした場合、どのようなリスクがあるか。
漏えいした情報に対して、どのように対処するかなど。
個人的には、ネットを利用しなくてよいサービスは、利用しないのも有効な対策だと思うｗ
