PHPの深刻度9.2脆弱性、BASEやさくらなど国内大手が緊急メンテ

PHPの深刻な脆弱性2件を受け、国内大手サービスが相次いで緊急メンテナンスや一時停止に踏み切った。

今何が起きているか

PHPに深刻度9.2の脆弱性が2件確認され、修正プログラムが公開された。BASE、さくらインターネット、Cygames、pixivなど国内大手サービスが緊急メンテナンスや一時的なサービス停止・機能制限を実施した。国家サイバー統括室は更新プログラムの速やかな適用を呼びかけている。

PHPは多くのWebサービスが共通で利用する実行環境で、脆弱性を突かれるとサーバー上で任意のコードを実行される恐れがある。修正プログラムが公開された時点で、未適用のサーバーは攻撃対象になり得るため、各社は被害を防ぐ目的でサービスを止めて更新を優先した。

PHPを使うWebサービスを運営する企業と、その利用者に影響が及ぶ。緊急メンテナンス中は対象サービスの決済や投稿、閲覧などが一時的に使えなくなる。影響範囲は各社の対応状況によって異なる。

各社の更新作業が進めばサービスは順次復旧するとみられる。ただし修正プログラムの適用が遅れたサーバーは攻撃を受ける可能性が残るため、当面は各サービスの告知とセキュリティ情報の確認が必要になる。

利用者は各サービスの公式告知で復旧状況と機能制限の範囲を確認する。運営者はPHPの更新プログラムを適用し、適用済みかどうかを点検する。不審な通信や改ざんの兆候がないかログを確認しておきたい。

多数のサービスが同じ実行環境に依存しているため、更新の遅れが一斉の停止や情報漏えいにつながり得る。各社の対応速度と告知の分かりやすさが、利用者の信頼を左右する。