Web開発言語PHPに重大な脆弱性が2件発見され、修正アップデートが公開されました。認証なしでサーバー上のコードを実行される可能性が指摘されており、世界各国の政府機関やWebサービスで予防的なサイト停止が発生しています。PHPを利用するWebサイトの管理者、ホスティング事業者、WordPressなどのCMS運用者は、利用状況と更新の可否を早急に確認する必要があります。直ちに修正できない場合は、対象システムの一時停止も推奨されています。
- PHPの重大な脆弱性2件とは？何が起きているのか
- 脆弱性の影響と対象バージョン
- フィンランド政府やWikipediaなどでサイト停止が発生
- インターネットの約70％に影響する可能性も
- すでに攻撃が始まっている可能性、Cloudflareが初期の攻撃を確認
- PHPを利用しているか確認する方法
- 管理者が実施すべき緊急対策
- 今回の脆弱性はAIによって発見された
- よくある質問（FAQ）
- まとめ：PHPの利用状況を特定し、修正対応を優先
PHPの重大な脆弱性2件とは？何が起きているのか
Webサイトのサーバー側で広く利用されるプログラミング言語PHPに、2件の重大なセキュリティ上の欠陥が発見されました。
今回の脆弱性は、サイバーセキュリティ企業のCalifとWizの研究者らによって発見されました。OpenAIの研究者も、ほぼ同じ時期に問題を発見していたとされています。
欠陥は10年以上発見されずに残っていましたが、高度なAIツールを利用した調査によって8月までに特定されました。
PHP Foundationは当初、今月後半に脆弱性の詳細と修正パッチを公開する計画でした。しかし、火曜日に問題の詳細がSNS上で漏えいしたため、公表と修正対応を前倒ししました。
その結果、水曜日の午後に修正アップデートが公開されています。
英国の国家サイバーセキュリティセンター（NCSC）やEU、オーストラリア、日本のサイバーセキュリティ当局などが注意を呼びかけており、更新できないシステムについては一時停止を検討するよう求めています。
脆弱性の影響と対象バージョン
今回の問題で特に懸念されているのは、認証されていない外部の攻撃者によるリモートコード実行の可能性です。
リモートコード実行とは、攻撃者がネットワーク経由で対象サーバーに不正な命令を実行させることです。
EUのコンピューター緊急対応チームCERT-EUは、今回の脆弱性に付与された危険度スコアについて、認証不要のリモートコード実行につながる可能性を示していると説明しています。
攻撃が成立した場合、マルウェアの設置やWebサイトの停止などが引き起こされる可能性があります。また、米国家安全保障局（NSA）は、こうした脆弱性がサーバーのファイルシステムやデータベースへの直接的な侵入経路になることがあると警告しています。
対象となるPHPの正確なバージョン範囲は、取得情報の時点では明確になっていません。ただし、CERT-EUは2004年に登場したPHP 5以降のすべてのバージョンに影響する可能性があるとしています。
| 確認項目 | 判明している内容 |
|---|---|
| 対象ソフトウェア | PHP |
| 脆弱性の件数 | 2件 |
| 主な危険性 | 認証不要のリモートコード実行の可能性 |
| 想定される被害 | サーバーへの不正アクセス、マルウェア設置、Webサイト停止など |
| 影響バージョン | PHP 5以降のすべてに影響する可能性があるとCERT-EUが指摘 |
| 修正アップデート | 水曜日の午後に公開 |
| 古いバージョンへの対応 | PHP 8.1以前の利用者にはアップグレードを推奨 |
| 修正できない場合 | 対象システムの一時停止を検討 |
| 攻撃の状況 | Cloudflareが初期段階の攻撃を確認していると説明 |
PHP Foundationによる修正アップデートは最新バージョン向けに公開されており、PHP 8.1以前を利用している場合はアップグレードが求められています。
ただし、PHP 8.1以前だけが影響を受けるという意味ではありません。利用中のPHPが修正済みの状態になっているかを確認することが重要です。
フィンランド政府やWikipediaなどでサイト停止が発生
今回の脆弱性への対応として、世界各国の政府機関やWebサービスがサイトの一時停止やアクセス制限を実施しています。
フィンランドとオランダの政府機関
フィンランド政府は、一般向けのWebサービスを一時的に停止しました。
オランダでは、国家サイバーセキュリティ機関が脆弱性への対応として自らのWebサイトを停止すると説明しています。
さらに、オランダ国立公衆衛生環境研究所のWebサイトも停止され、同国議会下院であるTweede KamerのWebサイトにもアクセスできなくなっています。
これらの対応は、脆弱性の修正が完了するまでシステムを保護するための措置として報じられています。
Wikipediaの一部サービスも利用できない状態に
Wikipediaを運営するWikimedia Foundationも、今回の脆弱性に対応していると明らかにしました。
安全にパッチを適用できるようになるまで、予防措置として複数のシステムを停止したと説明しています。
この影響により、水曜日には一部の利用者がWikipediaの特定のサービスにアクセスできない状態になりました。
英国の自治体やBBC関連ページでもアクセス障害
英国では、エディンバラ市議会のWebサイトがアクセスできない状態となりました。
また、BBCの番組「Doctor Who」や「The Traitors」に関連するWebページにもアクセスできなくなっています。
ただし、エディンバラ市議会やBBCのサイト停止と今回のPHP脆弱性との直接的な関連は確認されていません。BBC Newsは関係機関にコメントを求めています。
アート関連プラットフォームのDeviantArtも一時的なメンテナンスを案内していますが、その理由は明らかにしていません。
インターネットの約70％に影響する可能性も
セキュリティ企業Wizは、今回の脆弱性について、インターネットのおよそ70％が影響を受けると推定しています。
ただし、この70％という数字はWizの推計であり、BBCは独自に検証できていないとしています。
したがって、世界中のWebサイトの70％が実際に侵害されている、あるいはすべて停止する必要があるという意味ではありません。
PHPは多くのWebサイトやWebサービスで使用されており、その利用範囲の広さが今回の問題を重大なものにしています。
セキュリティ企業Huntressは、PHPがWordPress、Drupal、Joomla、Magentoのほか、共用ホスティングサービス、管理パネルなどにも広く利用されていると指摘しています。
また、PHPを利用していることが利用者や管理者から分かりにくいソフトウェアにも組み込まれているため、影響範囲の特定そのものが課題となっています。
すでに攻撃が始まっている可能性、Cloudflareが初期の攻撃を確認
インターネットインフラ企業Cloudflareの最高技術責任者Dane Knecht氏は、初期段階の攻撃が現れ始めており、新たな攻撃経路が確認されるたびに防御策を更新していると説明しています。
この発言は、今回の問題への対応が単なる予防的なアップデートにとどまらないことを示しています。
また、Sophos Counter Threat UnitのDon Smith氏は、今回の脆弱性が攻撃者にとって優先度の高い標的になる可能性を指摘しています。
特に重要なのは、パッチを適用するだけでなく、攻撃者がすでにシステムへの侵入経路を確保していないか確認することです。
ただし、取得情報では実際に侵害された組織数や、攻撃成功件数までは示されていません。Cloudflareが確認した初期の攻撃活動と、侵害の成立は区別して考える必要があります。
PHPを利用しているか確認する方法
今回の問題では、組織内のどこでPHPが稼働しているかを把握することが重要です。
PHPは公開Webサイトだけでなく、CMS、ホスティング環境、管理ツール、サードパーティ製品などにも組み込まれている可能性があります。
1. Webサイトの管理環境を確認する
まず、管理しているWebサイトやサーバーの構成情報を確認してください。
WordPress、Drupal、Joomla、Magentoなどを使用している場合は、PHPの利用状況と稼働バージョンを調べます。
ただし、これらの製品を使用していることだけで、実際に今回の脆弱性を悪用できる状態にあるとは断定できません。
2. サーバー上のPHPバージョンを確認する
サーバーの管理権限がある場合は、管理画面や構成管理情報からPHPのバージョンを確認します。
コマンドを実行できる環境では、一般的に次の方法でPHPコマンドライン環境のバージョンを調べられます。
php -vただし、このコマンドで確認できるのはコマンドラインで使用されるPHPです。Webサーバーが別のPHP実行環境を使用している場合、そのバージョンとは一致しない可能性があります。
そのため、実際にWebサイトを処理するPHPのバージョンも確認する必要があります。
3. サードパーティ製品やホスティング環境を確認する
共用レンタルサーバーやマネージドサービスを利用している場合は、サービス提供事業者のセキュリティ案内やアップデート状況を確認してください。
独自のPHP更新操作ができない環境では、提供事業者による修正対応が必要になる場合があります。
また、PHPが内部に組み込まれた製品については、製品提供元が公開する更新情報を確認します。
管理者が実施すべき緊急対策
英国NCSCをはじめとする各国のサイバーセキュリティ機関は、PHPの修正アップデートを適用するよう求めています。
特にインターネットに公開されたシステムでは、更新の可否と代替措置を優先して判断することが重要です。
1. 修正アップデートを適用する
最優先となるのは、PHP Foundationが公開した修正アップデートの適用です。
現在のPHPバージョンと利用可能な修正版を確認し、システムとの互換性を考慮しながら更新を実施してください。
PHP 8.1以前を利用している場合は、アップグレードの検討が必要です。
なお、取得情報には修正済みPHPの具体的なバージョン番号が記載されていないため、特定のバージョンへ更新すれば今回の問題が解決するとまでは判断できません。
2. 直ちに修正できないシステムは一時停止を検討する
英国NCSCは、直ちに問題を修正できない場合、完全に対処できるまで対象システムをオフラインにすることを検討するよう勧告しています。
これは、修正までの間に外部から攻撃される機会を減らすための対応です。
事業上の理由で停止が難しい場合も、影響を受ける可能性のある公開サービスを特定し、継続運用に伴うリスクを評価する必要があります。
取得情報では、一時停止に代わる特定の設定変更だけで安全を確保できるとは示されていません。
3. 侵入の痕跡を確認する
SophosのDon Smith氏は、攻撃者がすでにシステム内へ侵入している兆候がないか調べることも重要だと説明しています。
実務上は、サーバーのアクセスログや認証記録、不審なファイル変更、想定外のプロセス実行などを確認することが考えられます。
ただし、今回の脆弱性に固有の攻撃検知条件や侵害指標は、取得情報に記載されていません。
一般的な異常の確認だけで侵害の有無を完全に判断できるわけではないため、公式の技術情報や製品提供元の案内も確認してください。
4. 更新後も関連製品のセキュリティ情報を監視する
NCSCは、PHPを組み込んだ機器やサービスを含め、サードパーティ製ソフトウェアのセキュリティ更新を継続的に確認するよう勧告しています。
Webサイト本体のPHPを更新しても、別のアプリケーションや製品が古いPHPを内部で使用している可能性があります。
更新後は、Webサイトが正常に動作していることを確認するとともに、管理対象全体で未修正のPHP環境が残っていないか確認することが重要です。
今回の脆弱性はAIによって発見された
今回の発見では、高度なAIツールが重要な役割を果たしています。
OpenAIが開始した「Patch the Planet」というプログラムには、CalifやPHP Foundationが参加し、Web開発言語のセキュリティ上の欠陥を発見・修正するため、高度なAIツールへのアクセスが提供されていました。
Wizも、先進的なAIモデルの利用によって、複数のアプリケーションに対応する攻撃実証コードの開発と調整を数時間で進められたと説明しています。
OpenAIは今回の発見を、近年でも特に影響の大きいセキュリティ問題の一つと位置付けています。
一方で、こうした技術は防御側の調査を効率化するだけでなく、攻撃者による脆弱性の分析や悪用にも影響する可能性があります。
今回の事例では、10年以上発見されなかった問題がAIを活用した調査によって明らかになった点が特徴です。
よくある質問（FAQ）
Q. WordPressを利用しているサイトも影響を受けますか？
WordPressはPHPを利用するため、今回の脆弱性に関する確認対象です。ただし、具体的な影響は稼働中のPHP環境や修正状況によって異なります。WordPressの利用だけを理由に、侵害が発生していると判断することはできません。
Q. PHP 8.1以前を使用しています。どうすればよいですか？
取得情報では、PHP 8.1以前の利用者にアップグレードが推奨されています。現在のバージョンを確認し、修正済みバージョンへの更新を進めてください。利用しているアプリケーションとの互換性も確認が必要です。
Q. PHPを更新できない場合、Webサイトを停止すべきですか？
英国NCSCは、直ちに問題を修正できない場合、完全に対処できるまでシステムをオフラインにすることを検討するよう勧告しています。公開範囲や事業への影響を確認し、停止を含む対応を判断してください。
Q. すでに今回の脆弱性を悪用した攻撃は起きていますか？
Cloudflareは初期段階の攻撃が確認され始めていると説明しています。ただし、今回の取得情報だけでは、実際の侵害件数や被害組織数を特定できません。
Q. 世界のWebサイトの70％が危険という情報は正確ですか？
Wizはインターネットのおよそ70％に影響が及ぶと推定していますが、BBCはこの数字を独自に検証できていません。70％という数字を、実際に侵害されたサイトの割合と解釈することはできません。
Q. 一般のWebサイト利用者は何をすればよいですか？
PHPの修正は基本的にWebサイトやサーバーの運営者が実施するものです。一般利用者が自分の端末でPHPを更新する必要があるとは限りません。利用中のサービスが停止している場合は、運営者の公式案内を確認してください。
まとめ：PHPの利用状況を特定し、修正対応を優先
今回発見されたPHPの重大な脆弱性2件は、認証不要のリモートコード実行につながる可能性が指摘されており、世界各国の政府機関やWebサービスが対応を進めています。
フィンランド政府やWikimedia Foundationなどは予防的なシステム停止を実施しており、Cloudflareも初期段階の攻撃活動を確認していると説明しています。
Webサイト管理者にとっての優先事項は、PHPの稼働環境を洗い出し、修正アップデートを適用し、更新できないシステムについて一時停止を検討することです。
加えて、すでに侵入されていないかを確認し、PHPを内部で使用するサードパーティ製品も含めて継続的に更新状況を監視する必要があります。
対象バージョンの正確な範囲や修正済みバージョンは、PHP Foundationおよび関係するセキュリティ機関の最新の公表内容を確認してください。
