ウェブサイトで多用されるPHP言語に深刻な脆弱性（9.2/CVSS4.0） 23時に修正リリース

ウェブサイトの開発などに使われるプログラミング言語「PHP」について、深刻な脆弱性2件を修正するセキュリティ更新が10月21日午後11時（日本時間）に公開される予定だ。PHPのセキュリティチームが20日に予告した。情報処理推進機構（IPA）も、公開後すぐに更新を適用できるよう、事前の準備を呼びかけている。

2件の脆弱性はいずれも、深刻度を示す指標「CVSS v4.0」で9.2（最高値は10.0）と評価されている。脆弱性の具体的な内容や影響を受けるPHPのバージョン、修正版の番号は、更新の公開に合わせて明らかになるという。

PHPのセキュリティチームは、更新が公開され次第アップグレードできるよう、すべての利用者に準備を求めている。脆弱性の詳細が予定より早く公表されたり、実際に悪用された証拠が見つかったりした場合には、公開を前倒しする可能性もある。

IPAは21日に公開した注意喚起で、ウェブサイトの運営者や開発者に対し、開発・運用するプログラムのうちPHPを使っているものを可能な範囲で洗い出すよう呼びかけた。今回の2件を悪用した攻撃は、現時点で確認していないという。

一方、IPAは、サポートが終了した古いPHPを使い続けているウェブサイトも確認していると指摘。攻撃者が今回の脆弱性を悪用し、修正プログラムの公開後、極めて短時間で攻撃を仕掛ける可能性があるとして、速やかな対応を求めている。
PHPは、ウェブサイトだけでなく、ソフトウェア製品やネットワーク機器の内部で使われている場合もある。IPAは、こうした製品についても、マニュアルや開発元・提供元のセキュリティ情報を確認し、影響や対策が公表された際に速やかに対応できるよう備えてほしいとしている。
ただし、現時点で利用中のすべての製品について、PHPが使われているか個別に調べるよう求めているわけではない。使用状況が不明な製品についても、今後の開発元・提供元からの情報を確認するよう促している。