PHPから始まり、Node.js、RubyにeMudhraの証明書と脆弱性トピック目白押しの週末であった。
仕事と関係なく個人で運用しているサイトではPHPとRubyがヒットし、アップデートを適用した。普段から最新版を適用しているためアップデートは大した手間ではないのだが、Docker化されたサイトにおける課題に気づいた。
しかし恐ろしい時代になったものである。修正バージョンがリリースされると即AIによって脆弱性が解析され、攻撃開始まで15分とかからないという。このため、PHP修正バージョンのリリースが予告されていた21日の23時前から攻撃に備えてサイトをメンテナンス状態にし、パッチリリースを待つという状況になった。
気づいた問題というのはDockerイメージの修正版リリースにはラグがあるという事。考えてみれば当たり前である。短時間で修正版を用意するメンテナ達には頭が上がらないのだが、イメージのリリースまで数時間かかり、メンテ解除の見込み時刻が読めない。今回は高市首相のポストもあり多少ダウンタイムが伸びたとしても理解を得やすい状況だったと思うが、いつも国のアシストがあるとは限らない。いざという時のために自分でイメージをビルドしてリリースできるようにしておいた方がいいかもしれない、などと思った。
そんな世界的なセキュリティ祭りの裏で、あるネット企業のVPSサービスがハッカーに掌握されたと言うニュースが飛び込んできた。その企業は国に能動的サイバー防御の発動を要請したというが、まぁ、よくもそんな恥知らずな要請ができるものだね。
社会インフラや国家安全保障問題などの国の基盤に関わる場合に適用される法律であって、企業の１サービスに適用されるようなものではない。ましてFX自動取引なんて情弱を騙して金巻き上げるブルシット事業の片棒担ぐブルシットサービスに適用されるなどあり得ない。顧客のローカルPCまで侵害されていたとはいえ、ユーザが限定されたサービスであり、そもそもの原因は設計の稚拙さ、管理のザルさ、セキュリティ意識の低さにある。自分の過失を棚に上げて日本のインターネットの危機などと大げさに騒ぎ立てる。マジ恥ずかしくないんでしょうかね？
