高市首相がSNSで国内のサイト運営者に対応要請
高市早苗首相は10月21日夜、プログラミング言語「PHP」に重大なセキュリティー上の問題が確認されたことを受け、X（旧ツイッター）で注意を呼びかけた。修正プログラムの公開に備え、対象となるシステムで迅速に更新を実施できるよう準備することを求めている。
PHPは世界中のウェブサイトで利用され、オンライン販売をはじめとする多様なサービスの運用を支えている。今回確認された問題は、外部から不正なプログラムを実行される危険性がある重大な欠陥だ。
首相は、修正プログラムの導入がすぐにできない場合についても言及した。更新までの間、ウェブサイトの機能を一時的に停止することが、危険性を抑える手段の1つになると説明している。
電子商取引やサーバー管理にも広がるPHPの利用
PHPは、インターネット上で提供されるサービスのさまざまな部分に使用されている。電子商取引サイトだけでなく、ウェブサイトの管理機能やサーバーを共同利用するサービスなども、その利用範囲に含まれる。
また、ソフトウェアの利用者がPHPの存在を意識していない場合でも、内部の処理に同言語が組み込まれていることがある。サイバーセキュリティー企業のハントレスは、PHPの利用を明示していない多くのソフトウェアにも採用例があると説明した。
このため、今回の問題はPHPを直接使用して開発されたウェブサイトだけに限られない。PHPが内部で使われるサービスも関係しており、ウェブサイトの運営者やシステム管理者にとって、使用環境の把握が重要となる。
認証を必要としない遠隔操作の危険性が判明
PHPの開発チームが確認した脆弱性は2件で、いずれも深刻度評価基準「CVSS v4.0」において9.2と判定された。この基準は最高10点で評価されるもので、今回の数値は極めて高い水準にある。
EU機関サイバーセキュリティーサービス（CERT-EU）は、攻撃者が正規の認証手続きを通過せず、離れた場所から対象システム上でプログラムを動作させる危険性があると説明した。
ウェブホスティング企業のゴーダディも、インターネットを通じてサーバー上で不正なコードを実行される危険を指摘している。想定される被害には、保存された情報の持ち出し、ウェブサイトの改ざん、システム全体の乗っ取りなどが含まれる。
EUは修正できない場合のサービス停止を提案
欧州では、日本政府による注意喚起に先立ち、サイバーセキュリティー当局が対応方針を示していた。CERT-EUは10月20日、問題の深刻さを踏まえ、修正プログラムの提供後に直ちに適用できるよう準備することを求めた。
同機関は、更新が難しい組織について、影響を受けるウェブサイトの運用停止を検討すべきだと勧告した。脆弱性が残った状態でサービスを提供し続けることによる危険を減らすための対応である。
日本の高市首相も、修正が間に合わない場合にはウェブサイトの機能を一時停止する方法を挙げている。EU当局と日本政府はそれぞれ、修正プログラムの早期適用を基本とし、対応できない場合には停止措置も選択肢として示した。
21日深夜の修正版公開に向けた準備が焦点
PHPの開発チームは10月21日、確認された2件の問題を解消する修正プログラムを同日午後11時（日本時間）に公開する予定だと発表した。利用者には、修正版が提供された後、遅滞なく更新するよう呼びかけている。
修正プログラムの提供に先立つ約1日の間には、PHPを使用するウェブサイトが深刻な攻撃にさらされる危険性をめぐって、インターネット上で臆測が広がっていた。こうした状況の中で、開発チームは脆弱性の評価と公開予定時刻を明らかにした。
今回の対応では、システムの更新を実施できるかどうかが重要な判断材料となる。速やかに修正できる場合は更新を進め、困難な場合にはサイトや機能の一時停止を検討するという方針が示されている。日本政府とEU当局は、PHPを利用する組織に対し、重大なセキュリティー上の問題への対応を求めている。