WordPressをはじめ、世の中の多くのWebサイトやWebシステムはPHPというプログラミング言語を使って動いています。そのPHPの開発チームが、緊急度の高い脆弱性（セキュリティ上の弱点）2件を修正する更新版を、10月21日（水）23時（日本時間）に公開するとアナウンスしました。
サーバーやプログラムの管理は、制作会社・開発会社やサーバー会社に任せているサイトオーナーも多いかもしれません。ただ、今回の脆弱性はPHPで動くサイトやシステム全般に関わる可能性があるため、誰が更新を担当するのかも含めて、修正版の公開前に確認しておくと慌てずに対応できます。
そこで今回は、アナウンスされた脆弱性の内容と、修正版の公開までにサイトオーナーが確認しておきたいことをお伝えします。
アナウンスされた脆弱性の内容
PHPの開発チームによるアナウンスで、現時点で分かっていることは次のとおりです。
- 修正される脆弱性は2件
- 深刻度はどちらも9.2（脆弱性の深刻度を0〜10で表す共通の評価基準「CVSS」による）で、最も深刻な「緊急」の区分
- 修正版の公開は10月21日（水）23時（日本時間）の予定
- すべてのPHP利用者に、修正版の公開後すぐに更新できるよう準備しておくことを呼びかけ
脆弱性の詳細が公になったり、実際に悪用された形跡が見つかったりした場合は、予定より早く公開されることもあります。影響を受けるバージョンや修正版のバージョンは、修正版の公開と同時に発表される予定です。
PHPは、WordPressなどのCMS（サイトの更新・管理をするためのシステム）や問い合わせフォームのほか、LaravelなどのPHPフレームワーク（システム開発の土台となる仕組み）で作られた予約システムや会員サイトにも広く使われています。影響を受けるバージョンがまだ分からないため、PHPで動いているサイトやシステムは対象になりうるものとして備えておくと安心です。
修正版の公開までに確認しておきたいこと
修正版が公開されたらすぐに動けるよう、次の4点を確認しておきます。
- 使っているPHPのバージョン：サーバーの管理画面で確認できます。WordPressの場合は、管理画面の「ツール」→「サイトヘルス」→「情報」の「サーバー」の項目にも表示されます。Laravelなどで開発したシステムは、開発を担当した会社に確認すると確実です。
- サーバー会社からのお知らせ：修正版の適用予定や、利用者側で必要な作業が案内されることがあります。メールやサーバーの管理画面を確認します。
- サイトのバックアップ：更新作業の前に、サイトのデータを保存しておきます。
- 更新を担当する人：自社・制作会社・開発会社・サーバー会社のうち、誰が対応するのかを確認します。
更新を担当する人は、サイトを置いているサーバーによって異なります。レンタルサーバーではサーバー会社が修正版を適用することが多いものの、サーバーによっては管理画面でPHPのバージョンを自分で切り替える必要があります。自社でサーバーを管理している場合は、自社または管理を任せている会社が更新作業を行います。
あわせて、PHPはバージョンごとにセキュリティ修正が提供される期間が決まっており、サポートが終了した古いバージョンには修正版が提供されません。古いバージョンを使っていた場合は、新しいバージョンへの切り替えも検討します。ただし、切り替えるとサイトやシステムの一部の機能が動かなくなることもあるため、制作会社や開発会社と相談しながら進めると安心です。
更新作業についてのご相談
PHPの更新作業は、サイトやシステムの仕組みによって専門的な知識が必要になることがあります。保守契約を結んでいる制作会社・開発会社や、サイト・システムの制作や管理を依頼している会社がある場合は、まずはそちらへご相談ください。
相談できる先が無くお困りの場合は、お問い合わせページからご相談ください。お問い合わせ内容は「PHPの緊急脆弱性の対応をこのサイトで行いたい」などのようにご入力ください。
まとめ
さて今回は、PHPでアナウンスされた緊急の脆弱性の内容と、修正版の公開までに確認しておきたいことをお伝えしました。
今回の脆弱性は深刻度が最も高い区分で、PHPで動くサイトやシステム全般に関わる可能性があります。影響を受けるバージョンは修正版の公開と同時に発表されるため、今のうちにPHPのバージョンや更新の担当者を確かめておくと、公開後すぐに動けます。
修正版の公開後に発表された、影響を受けるバージョンや今すぐ行いたい対応は、php2shellの修正版と更新が必要なバージョンを確認してください。
サーバーやプログラムの話は分かりにくく感じるかもしれませんが、まずはお使いのPHPのバージョンを確認するところから始めてみてください。