認証なしでサーバー攻撃の恐れ…PHPに深刻な脆弱性、韓国がサイバー警報引き上げ

【10月28日 KOREA WAVE】プログラミング言語「PHP」で、危険度9.2と評価された深刻な脆弱性が公開され、企業や機関が緊急対応を迫られている。ログインなしでサーバー上の不正な命令を実行でき、攻撃の実証コードも公開された。米国家安全保障局（NSA）は即時の修正プログラム適用を勧告し、韓国政府もサイバー危機警報を「注意」に引き上げた。

脆弱性2件（CVE-2026-109618、CVE-2026-109619）は21日（現地時間）に公開され、共通脆弱性評価システム（CVSS）4.0で、それぞれ10点満点の9.2点と評価された。9.0点以上は最高の危険度を示す「緊急」に分類される。攻撃者が認証を経ず、細工した要求をインターネット経由で送ることで、サーバー上で任意のコードを実行できる恐れがある。遠隔操作や顧客情報の窃取、サイトの改ざん・停止に加え、メモリー内のパスワードや認証トークン、APIキーなども流出する危険がある。

2件ともPHP内部のメモリー処理に関する欠陥で、一方はメモリー不足などの例外処理の不備、もう一方は解放済みメモリーを再参照する問題だ。特にアパッチの「mod_php」環境では、サイト独自のプログラムが動く前に攻撃が成立する可能性があり、ログイン機能やアクセス制限だけでは防げない場合がある。PHPはWordPressやDrupal、Joomla、Magentoなどに使われる。調査会社W3Techsによると、サーバー側の言語を特定できるサイトの約75％が採用しており、影響の確認が広範囲で必要となる。

NSAは直ちに更新できないシステムについて、安全対策が整うまでインターネットから切り離すよう勧告。欧州連合の関係機関や英国の医療分野のサイバーセキュリティー組織、日本の情報処理推進機構（IPA）も点検・更新を呼び掛けた。韓国科学技術情報通信省と韓国インターネット振興院（KISA）は22日正午、民間部門の警報を「注意」に引き上げた。情報保護最高責任者の届け出企業約2万8000社などに、緊急対策を周知した。

PHP開発チームは21日、修正版の8.5.12、8.4.27、8.3.36、8.2.35を緊急公開した。一方、公式のセキュリティーサポートが終了した8.1以下には修正版が提供されず、サポート対象の上位版への移行が必要だ。

課題は、管理人員や予算が乏しい中小企業、零細通販サイト、古い企業サイトへの対応だ。外観や商品情報だけ更新し、内部プログラムを長年変えていない例もある。外注先との保守契約が切れ、使用中のPHPの版すら把握できないケースも想定される。旧版向けのプログラムやプラグインは、新版で動かない可能性がある。移行にはプログラムの修正や決済・会員管理機能の再点検が必要となり、費用やサービス停止の負担が生じる。ホスティング利用企業も、事業者任せにせず、修正の適用状況と互換性を確認する必要がある。

セキュリティー各社も無料診断や攻撃遮断を支援している。ただ、ウェブアプリケーションファイアウォール（WAF）は攻撃を遮断しても、PHP内部の欠陥を修正するものではない。政府と業界は、外部公開システムを優先して更新し、社内システムも点検するよう要請。更新後も不審な接続履歴や遠隔操作用の不正ファイルなど、侵害の痕跡を確認するよう求めている。

(c)news1/KOREA WAVE/AFPBB News