世界中のウェブサイトで利用されるPHPに重大な問題
ウェブサイトの開発や運用に幅広く利用されるプログラミング言語「PHP」で、重大なセキュリティー上の欠陥が2件確認された。PHPの開発チームは10月21日、問題を解消するための修正プログラムを公開すると発表した。対象となるシステムでは外部から不正な操作を受ける危険があり、関係機関が早急な対応を求めている。
PHPはウェブサイトの構築だけでなく、電子商取引、サーバー管理、各種オンラインサービスなどにも利用されている。利用者が直接PHPを使用していると認識していないソフトウェアでも、内部の処理に採用されている場合がある。
今回の問題は、こうした幅広い利用環境に関係する。修正プログラムの提供を前に、PHPを使用するウェブサイトがサイバー攻撃を受ける危険性について、インターネット上で懸念が広がっていた。
脆弱性の深刻度は最高10点中9.2と判定
開発チームの発表によると、確認された2件の脆弱性は、国際的な深刻度評価基準「CVSS v4.0」で、それぞれ9.2と判定された。最高値の10に近い数値であり、セキュリティー上の重大な問題として扱われている。
EU機関サイバーセキュリティーサービス（CERT-EU）は10月20日、この評価について、攻撃者が利用者認証を経ずに外部からプログラムを実行できる危険を示していると説明した。
攻撃が成立した場合、対象のサーバー上で本来認められていない処理が実行されるおそれがある。ウェブホスティング企業のゴーダディは、情報の窃取、ウェブサイトの内容変更、システム全体の支配につながる危険性を指摘している。
修正プログラムを21日午後11時に公開予定
PHPの開発チームは、問題を修正したプログラムを10月21日午後11時（日本時間）に提供する予定を示した。対象システムの利用者には、公開後できる限り早く更新作業を実施するよう求めている。
今回の対応では、修正版の公開に合わせて更新できる状態を整えることが重要となる。PHPは単独のウェブサイトだけでなく、サーバーの共有サービスや管理画面にも組み込まれているため、さまざまな運用環境が関係する。
サイバーセキュリティー企業のハントレスは、PHPの利用を明示していないソフトウェアにも、内部で同言語が採用されているものが多いと説明している。更新対象を把握する際には、ウェブサイトの表面的な構成だけでなく、内部で使用される技術も関係する。
EU当局が更新困難なサイトの停止を勧告
CERT-EUは、修正プログラムが提供され次第、影響を受けるシステムに適用できるよう準備することを求めた。10月20日に公表した勧告では、対応が遅れる場合の危険性についても注意を促している。
特に、直ちに修正版を導入できない組織に対しては、影響を受けるウェブサイトの停止を検討するよう呼びかけた。更新が完了するまでオンラインサービスを継続することによる危険を抑えるための措置となる。
PHPが使用される範囲は広く、ウェブサイトの公開部分に加えて管理機能やサーバー側の処理も含まれる。EU当局は、脆弱性の重大性を踏まえ、修正対応を迅速に進める必要性を示した。
高市首相も迅速な更新と一時停止を呼びかけ
日本でも今回の脆弱性への対応が求められている。高市早苗首相は10月21日夜、X（旧ツイッター）に投稿し、修正プログラムの公開後、速やかに適用できるよう準備することを呼びかけた。
首相は、更新作業を迅速に実施できない場合、ウェブサイトの一部機能を一時的に停止することも、危険性を減らすための有効な対応の1つだと説明した。
PHPは電子商取引を含む幅広いインターネットサービスに採用されている。今回の発表では、脆弱性を修正するための更新と、対応が難しい場合の機能停止という2つの措置が示された。開発側、EU当局、日本政府のいずれも、影響を受けるシステムへの早急な対処を求めている。