026年10月、PHP本体に、認証なしで任意コード実行に至る可能性がある2件の重大な脆弱性「PHP2Shell」が公表されました。
本ブログではまず、国内外の対応を公開情報をもとに比較しました。政府や関係機関の素早い情報発信は、日本も世界も共通して有効に機能したと考えられます。一方、日本は「止める」のは速かったが「戻す」のに時間がかかる組織が多く、資産管理の課題がうかがえました。また、Amazonが自社のハニーポット網で公開前の攻撃の試みを捉えて公表したのに対し、国内では公的機関による攻撃観測データの公表が見当たりませんでした。
それらを踏まえ、これまでのブログで整理した「Mythosレディ」の3層モデル（基本対策・ゼロトラスト・VulnOps/CTEM）に照らして今回の事案を評価し、攻撃側のAIが先に脆弱性を見つける時代への備えと、その対策を経営層にどう説明するかを考えてみました。
以下のブログページよりアクセスしてください。
「PHP2Shell（PHP騒動）をMythosレディの観点から読み解く ～ 3層モデルによる評価、国内外の対応比較と今後の推奨」CSAジャパンブログページ