PHP に深刻なセキュリティ脆弱性が暴露、世界的な Web サイト運営者が緊急にパッチ適用状態に入る

PHP 開発チームがリリースしたセキュリティ情報によると、CVSS v4.0 脆弱性スコアリング システム (フルスコア 10 点) を使用した場合、2 つの脆弱性の重大度スコアは 9.2 ポイントです。開発チームはすべての PHP ユーザーに対し、事前に準備をし、修正がリリースされたらすぐにアップグレードするよう求めています。発表では、脆弱性の詳細が事前に公開された場合、または実際に脆弱性が悪用されたことが判明した場合には、事前にパッチを公開する可能性があるとも述べた。

PHP は、インターネット インフラストラクチャで最も広く使用されているサーバー側プログラミング言語です。多くの Web サイトは、Web ページの生成、ユーザー要求の処理、データベースへの接続、バックグラウンド ビジネス ロジックの実行を行うためにこれを利用しています。 WordPress、Drupal、Joomla、Magento などの主流のコンテンツ管理システムと電子商取引プラットフォームはすべて PHP を広く使用しています。したがって、この脆弱性の潜在的な影響は、特定のソフトウェアや特定の種類の Web サイトに限定されず、多数のインターネット サービスに影響を与える可能性があります。

その中でも、WordPress の影響範囲は特に注目に値します。 WordPress が昨年発表したデータによると、このプラットフォームは世界中の Web サイトの 40% 以上をサポートしています。サイバーセキュリティ会社 Wordfence は、WordPress Web サイトは PHP がインストールされたサーバーで実行されることが多いため、基盤となる PHP 環境にパッチが適用されていない脆弱性がある限り、関連する Web サイトが危険にさらされる可能性があると指摘しています。

セキュリティ研究者は、影響を受ける可能性のあるインターネット ホストの数が 130 万を超えると推定しています。ただし、この数字は研究者による暫定的な推定値であり、関連するすべてのホストが侵害されたことを意味するものではなく、すべての Web サイトが必ずしも同じ程度の影響を受けると結論付けることもできません。

リモート コード実行の脆弱性は、攻撃者が正規のアカウントやログイン資格情報を必要とせずに、特別に作成したリクエストをネットワーク経由で脆弱なサーバーに送信し、悪意のあるコードを実行する可能性があるため危険です。攻撃が成功すると、Web サイトのページの改ざん、サーバー上のデータの盗用、悪意のあるプログラムの埋め込み、さらにはサーバー全体の制御が行われる可能性があります。ユーザー プロファイル、顧客情報、取引記録を保存する Web サイトの場合、侵害はより広範なデータ侵害やビジネスの中断につながる可能性もあります。

セキュリティ調査組織 watchTowr は、現在漏洩している関連情報に基づいて、これら 2 つの脆弱性は PHP 5 以降の複数のバージョンに影響を与える可能性があると述べました。ただし、PHP が脆弱性の詳細と影響を受けるバージョンのリストを正式に完全に開示する前に、具体的な影響範囲については公式発表が必要です。

さらに厄介なことに、ウェブマスターは WordPress の自動更新機能だけに頼って問題を解決することはできません。 Wordfence は、今回の脆弱性は WordPress コア プログラムやプラグインではなく、PHP 自体に存在することを特に注意喚起しています。そのため、Web サイトで WordPress コアとプラグインが自動的に更新されていても、サーバーが実際に実行されている PHP 環境は別途アップグレードする必要がある場合があります。

仮想ホスティングを使用するユーザーの場合、PHP は通常、ホスティング プロバイダーによって保守されます。 Web サイトが自己管理の仮想プライベート サーバー、クラウド サーバー、または独立したサーバー上で実行されている場合、保守責任は Web サイトの所有者またはシステム管理者にある可能性があります。 Web サイトの運営者は、現在使用している PHP のバージョン、サーバーの管理者、サービス プロバイダーが適時に修復バージョンを展開するかどうかを確認する必要があります。

欧州サイバーセキュリティ緊急対応チーム (CERT-EU) と英国国家サイバー セキュリティ センターは両方とも警告を発し、修復をすぐに完了できない組織は、脆弱性が効果的に緩和されるまで、インターネットに接続するアプリケーションをパブリック ネットワークから一時的に隔離するか、関連する Web サイトを直接オフラインにするよう推奨しています。 EUは特に、この脆弱性により攻撃者がシステムにログインせずに悪意のあるコードを実行できる可能性があるため、組織は影響を受ける資産を事前に特定し、緊急アップデートに備える必要があると指摘した。

一部の施設はすでに予防措置を講じています。モバイルオペレーティングシステム「GrapheneOS」の開発チームは、この脆弱性に対する概念実証の攻撃コードが開発中であるため、不必要なリスクを避けるためにユーザーディスカッションフォーラムを一時的に閉鎖したと述べた。 PHP 開発者の Gina Peter Bagyard 氏も、パッチのインストールが問題解決の鍵であると述べています。時間内に修復できない場合は、サーバーをシャットダウンする方が安全な選択である可能性があります。

サイバーセキュリティ研究者らはまた、パッチがリリースされた後、攻撃者がパッチの前後でコードの違いを迅速に分析し、脆弱性の悪用方法を見つけ出し、更新されていないサーバーに対して大規模な攻撃を開始する可能性があると警告しました。セキュリティ調査機関サンセックは、パッチ公開後わずか15分以内に大規模な攻撃が発生する可能性があると予測している。この予測は、この期間内に攻撃が確実に発生するという意味ではありませんが、脆弱性公開後のリスクの急速な拡大に対するセキュリティ業界の懸念を反映しています。

一方、Cloudflare の最高技術責任者である Dane Knecht 氏は、このプラットフォームが PHP を実行している Web サイトを標的とした攻撃の初期の兆候を観察していると述べました。 Cloudflareは、正式なパッチがリリースされるまで、追加の保護を提供するためにファイアウォールルールを一時的に調整しています。しかし、同氏は、これらの措置は暫定的な解決策としてのみ使用でき、正式な修理に代わるものではないと強調した。

オーストラリア サイバー セキュリティ センターは、現時点ではこれら 2 つの脆弱性に関連する確認された悪用活動は発見されていないと述べ、組織が社内で PHP を実行しているシステムの在庫をできるだけ早く把握し、事前にパッチを準備し、アプリケーションの異常を継続的に監視することを推奨しました。セキュリティ機関によって攻撃状況に関する声明は異なります。これは、脅威インテリジェンスが依然として急速に変化していることを意味しており、Web サイト運営者は、大規模な攻撃がまだ確認されていないからといって、自社のシステムが安全であると想定すべきではありません。

一般の Web サイト所有者にとって、この事件から得た最も重要な教訓は、Web サイトのセキュリティは、コンテンツ管理システムとプラグインが最新の状態に保たれているかどうかだけでなく、サーバーの基礎となる動作環境が適時に維持されているかどうかにも依存するということです。 Web サイトのコンテンツがほとんど更新されない場合でも、サービスがインターネット上で提供されている限り、基盤となるソフトウェアの重大な脆弱性が攻撃の入り口となる可能性があります。

PHP は正式に、2026 年 10 月 21 日の 14:00 UTC (北京時間の 22:00 に相当) に修正版をリリースする予定です。開発チームは、脆弱性の詳細や影響を受けるバージョン、修正されたバージョンの情報をその時点でさらに発表すると述べた。ウェブサイト管理者は、正式なアップデートがリリースされた後、サービスプロバイダーまたは自身のサーバーが修復を完了したかどうかをできるだけ早く確認し、必要に応じてシステムログや異常なアクティビティを確認する必要があります。

PHP パッチのリリースが近づいているため、世界中の多数の Web サイトが緊急メンテナンス段階に入ります。このインシデントのリスクは、脆弱性自体だけでなく、インターネット上に多数の古いバージョンのサーバーが存在し、Web サイトの所有者が更新を時間内に完了できない可能性があるという現実からもたらされます。すぐには修復できず、インターネットに直接公開されている重要なシステムの場合は、リスクを負い続けるよりも、一時的にアクセスを制限するかオフラインにした方が安全な場合があります。

詳細:

https://www.php.net/index.php