PHP緊急
PHPに乗っ取りの穴今すぐ更新を
69.3%PHPを使うWebサイトの割合(W3Techs)
1何が起きた?
緊急の穴が2件、外からサイトを乗っ取られるおそれ
- 深刻度は?
- 10点満点で9.2(CVSS)
- どんな穴?
- ログインなしでプログラムを実行される
- 攻撃は?
- 実際の悪用は報告されていない(10/21時点)
何が起きたか
PHPの開発チームは10月21日、外部から任意のプログラムを実行されるおそれのある脆弱性2件を修正した版を公開しました。深刻度はどちらもCVSS v4.0で9.2と、最も高い「緊急」に近い水準です。前日の20日には、重大な修正を出すと事前に予告していました。
なぜ大事か
ログインなどの条件なしに外からサーバーを操作される種類の穴で、PHP-FPMやApacheのmod_phpなど、Webで使われる主な動かし方のほぼすべてが対象です。公式の情報では、実際の攻撃に使われたという記載はありません。
日本への影響
日本でもWordPressなどPHPで動くサイトは多く、サイトを運営する企業や個人が対象になります。国内の事業者の対応状況は、各社の案内を確認する必要があります。
2誰に関係ある?
PHPのサイト、WordPressで作ったサイトも含む
- 対象は?
- PHP-FPM・mod_phpなどほぼ全部
- 見るだけの人は?
- 何もしなくて大丈夫
- 古い版は?
- 8.1以前は公式の修正なし
何が起きたか
W3Techsの調査では、サーバー側の言語が分かっているWebサイトの69.3%がPHPを使っています。WordPressは全Webサイトの39.6%を占め、これもPHPで動いています。
なぜ大事か
対象になるのはサイトを動かしている側で、サイトを見るだけの利用者が何かをする必要はありません。一方で、同じ調査ではPHPを使うサイトの3割以上がまだ7系以下の古い版で、公式の修正が出ない版も多く残っています。
日本への影響
レンタルサーバーを使っている場合は、事業者が更新することもあるため、まず事業者のお知らせを確認するのが現実的です。
3どうすればいい?
今すぐ更新、修正版が10/21に公開済み
- 更新先は?
- 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35
- レンタルサーバーは?
- 事業者の案内を確認
- ついでに
- 8.2は12/31でサポート終了
何が起きたか
修正版はPHP 8.5.12、8.4.27、8.3.36、8.2.35です。8.1以前には公式の修正版は出ていません。
なぜ大事か
PHP 8.2のサポートは2026年12月31日で終わる予定で、それ以降は今回のような修正も出なくなります。古い版を使っているサイトは、この機会に新しい版への移行も検討が必要です。
日本への影響
自社でサーバーを管理している場合は、OSのパッケージの更新情報もあわせて確認してください。
海外の報道や各社の発表をもとに、ai.1min.news が日本語でまとめました。AIの使い方と編集方針