韓国の小規模通販サイト、PHP脆弱性に「知っても対応できない」…専門人材不足が壁

【10月29日 KOREA WAVE】プログラミング言語「PHP」の脆弱性が相次いで見つかり、韓国政府が緊急対応を呼びかける中、小規模な通販サイトから「問題を知っても、自力では対応できない」との声が上がっている。専門のセキュリティー担当者がおらず、自社サイトが影響を受けるか判断することも難しいため、ホスティング会社の案内と対策に頼らざるを得ない状況だ。

韓国科学技術情報通信省は10月22日、PHPの脆弱性を受け、民間分野のサイバー危機警報を「関心」から「注意」に引き上げ、企業や機関に緊急更新を求めた。PHPはホームページや通販サイトなどの構築に使われる。21日に公開された2件の脆弱性を悪用されると、ログインなどの認証なしでサーバー上の任意の命令を実行され、顧客情報の流出やサイト改ざんにつながる恐れがある。

さらに、既存の更新では解消されない新たな脆弱性も確認された。韓国インターネット振興院（KISA）は24日、セッション処理の過程で遠隔からコードを実行できる「CVE-2026-115560」が見つかったとして、暫定対策を勧告した。特定の設定を使うサーバーが対象で、影響を受ける場合はファイルのアップロード進捗追跡機能を無効にし、PHPの作業プロセスを再起動するよう案内した。先の脆弱性への対応で同じ設定を適用済みなら、追加措置は不要としている。

しかし、小規模事業者には対応の壁がある。ある通販サイト運営者は「小さな通販サイトには、独自のセキュリティー人材がほぼいない。ホスティング会社が適切に対応してくれると期待する以外に方法がない」と話した。攻撃そのものに加え、被害が生じた場合の法的責任にも不安を抱いているという。

地域特産品を販売するサイトの関係者も「専門家がいないため、影響の有無を自分たちで判断するのは難しい。利用するサービス会社の案内や対応状況を確認する程度しかできない」と説明した。事故をすぐに把握したり、被害範囲を調べたりする余力も乏しい。個人情報流出や営業停止だけでなく、復旧時の人材・費用不足も大きな負担となる。

更新によって既存システムに不具合が生じるリスクも、迅速な対応を難しくしている。生活家電や化粧品を扱う通販サイトの関係者は「売上高規模の小さいサイトやブランドでは、専門人材や技術力が不足し、脆弱性の影響範囲や対策によるサービスへの影響を検討しにくい」と語った。「売上高が小さいからといって、保有する顧客情報の重要性やリスクが低いわけではない。対応力が乏しい中、経営規模や資金力をはるかに超える被害を負う可能性がある」と懸念した。

政府の警報発令から数日が過ぎても、脆弱性の発見自体を知らない事業者もいた。初めて聞いたと驚き、必要な対策を尋ねたり、被害を心配したりする反応が見られた。

KISAは、PHPの使用状況とバージョンを確認して更新を適用し、その後もサーバー接続記録などで侵害の痕跡を点検するよう勧告している。ホスティング会社が管理する場合は、対策の適用状況を確認し、必要な措置を求めるよう案内した。ただ、案内を受けても、対応が十分か判断できないとの声は根強い。ある運営者は「政府から直接連絡が来るわけではなく、話題になったり、ホスティング会社が告知したりするまで把握しにくい」と指摘。通信販売業として登録した事業者への迅速な緊急通知や、セキュリティー点検、技術支援を求めた。地域特産品サイトの関係者も、ホスティング会社と連携し、更新が速やかに進むよう支援することが、実質的な助けになると訴えた。

(c)news1/KOREA WAVE/AFPBB News