【注意】この件は21日夜の時点でも状況が動いているため、最新情報をご確認ください。
今回はかなり大きなニュースをお届けします。Webサイトの裏側で働くプログラミング言語「PHP」に、重大な欠陥が見つかりました。「うちはPHPなんて使っていないはず」と思った方も、どうか最後まで読んでみてください。
そもそもPHPって何？
PHPは、Webサイトの「裏方さん」です。レストランにたとえるなら、お客さん（閲覧者）の注文を受けて、厨房（サーバー）で料理（ページ）を作って運んでくれる店員さんのような存在ですね。
この店員さん、実はとんでもない売れっ子です。Web技術の調査会社W3Techsによると、サーバー側の言語が判明しているサイトのうち、69.3％でPHPが使われています。世界のWebサイトのざっと7割。WordPressをはじめ、ネットショップやお問い合わせフォームなど、「見たことあるサイト」の多くが、この店員さんのお世話になっています。 biggo
何が起きたのか？
見つかったのは2件の脆弱性で、しかも中身が穏やかではありません。PHPプロジェクトは、いずれも認証なしで、遠隔から任意のコードを実行される恐れがあるとしています。 biggo
ひとことで言うと、「ログインもしていない見知らぬ人が、外からサーバーに好き勝手な命令を出せてしまうかもしれない」ということです。
たとえるなら、お店の厨房の勝手口に、実は誰でも開けられる合鍵が存在していた、という状態です。サイトの乗っ取りや、データの持ち出しにつながる恐れがあると、専門家も指摘しています。 nikkei
修正版はすでに出ています
朗報もあります。PHPプロジェクトは日本時間21日午後11時に、修正版の8.5.12、8.4.27、8.3.36、8.2.35を公開しました。鍵の交換用パーツは、もう届いているわけです。 biggo
ただ、ここからが本番です。パーツが届いても、実際に取り付けなければ意味がありません。
様子見は危ない
① もう攻撃が始まっているという話もある
CVE番号（ソフトウェアやハードウェアに発見された個別のセキュリティ脆弱性に割り当てられる世界共通の識別番号）が公表前にネット上で拡散し、セキュリティ企業のwatchTowrは、一方の脆弱性の再現に成功したとの見方を示しています。米Cloudflareの最高技術責任者（CTO）は、初期の攻撃を観測していると述べました。一方で、IPAは21日時点では、この脆弱性を悪用した攻撃は確認していないとしています。情報が錯綜しているくらい、状況が流動的だということです。 biggobiggo
② 「これさえやればOK」という裏技がない
PHPのセキュリティチームは、完全な緩和策はなく、更新が唯一の安全な選択肢だと説明しています。設定の変更などの暫定策もありますが、あくまで一部の侵入経路をふさぐだけです。穴の空いた壁にガムテープを貼るようなもので、根本的な解決にはなりません。 biggo
③ 古いPHPを使っていると、そもそも直してもらえない
PHP 7とPHP 5はすでにサポートが終了しており、公式の修正版は出ません。PHP 8.2も2026年12月31日にサポート終了を迎えます。しかもPHPを使うサイトのうち、PHP 7が27.0％、PHP 5が7.7％を占めています。「動いているから、そのまま」と放置してきたサイトほど、今回は厳しい立場です。 biggobiggo
すでに世の中は動いている
国内では、ネットショップ作成サービスのBASEが予防的措置として緊急メンテナンスを実施し、東京外国語大学も管理するウェブサーバーの緊急点検を発表しました。さくらインターネットも、対応のために一部機能の停止を発表しています。 biggonikkei
政府も動きました。高市首相は、ウェブサイトの一時停止も有効だという考えを示しています。「サイトを止めるなんて大げさでは？」と思うかもしれません。でも、火事の知らせが来たときに「まだ煙は見えないから」と家を出ずにいるより、一度外に出て確認するほうが安全ですよね。それと同じ判断です。 nikkei
修正を適用できない場合は、公開中のアプリケーションを外部ネットワークから切り離すことも私は検討すべきだと思います。
できること
専門的な作業もありますが、まずは次の順番で確認してみてください。
- 自社サイトがPHPで動いているか確認する。 WordPressやEC-CUBEなどのCMS（サイトを簡単に管理できる仕組み）を使っていれば、基本的にPHPで動いています。
- PHPのバージョンを確認する。 7系や5系なら、緊急度はかなり高めです。
- レンタルサーバーや制作会社からの案内をチェックする。 サーバー側で更新されるケースもあれば、自分で操作が必要なケースもあります。
- 更新できない事情があるなら、一時停止や外部との遮断も検討する。
- 更新後も、ログや改ざんの有無を確認する。 公開前から情報が出回っていたため、すでに侵入されていないかの確認も大切です。
まとめ
今回のニュースで改めて感じるのは、Webサイトは「作って終わり」ではなく、「持ち続ける限り、手入れが必要な建物」だということです。弊社では必ず伝える言葉なのですが、仕上がって満足してしまうお客様は少なからずいらっしゃいます。ただ、見えないところの配管（PHP）に不具合が出れば、住んでいる人（お客様）の安全にも関わってしまうのです。
後回しはしないでください。
ご相談ください
株式会社アイ・セプトでは、Webサイトの運用・保守サービスを行っています。「うちのサイトは大丈夫なのか分からない」「PHPのバージョンの確認方法が分からない」「更新したいけれど、何から手をつけていいか不安」といったお悩みがあれば、セキュリティに関することでも、どうぞ気軽にお問い合わせください。
参照元
- 共同通信「ウェブ7割で使われるPHPに重大な脆弱性、IPAが速やかな修正を呼びかけ」（ライブドアニュース）https://news.livedoor.com/topics/detail/32623424/
- 日本経済新聞「プログラム言語『PHP』重大弱点 さくらネットは対応で機能一部停止」https://www.nikkei.com/article/DGXZQOUC216020R21C26A0000000/
- 朝日新聞「プログラミング言語『PHP』に重大な脆弱性 予防でサイト休止も」（Yahoo!ニュース）https://news.yahoo.co.jp/articles/a466aee5bba9c14880963d521ccd0a123faa80c0
- BigGo ファイナンス「PHPに重大脆弱性、世界のサイト7割に影響 修正プログラム今夜公開へ」https://finance.biggo.jp/news/e3692a81-53d3-4547-96d3-6bb5accf7dc4
