PHP、重大脆弱性「PHP2Shell」。パッチだけでは済まず対策が必要

ZDNET Japanは、PHPの重大な脆弱性「PHP2Shell」を取り上げ、パッチだけでは終わらない理由と、企業が今取るべき対策を解説している。

確認できたのは見出しの範囲である。CVE番号、影響を受けるバージョンや構成、深刻度の評価、悪用が確認されているかどうか、記事が挙げる具体的な対策は、今回の材料からは分からない。

技術面では、「Shell」を含む名称から、攻撃者がサーバー上でコマンドを実行できる問題である可能性がうかがえるが、これは名称からの推測である。一般論として、パッチの適用前に侵害を受けていた場合、修正をしても攻撃者が残した不正なファイルや認証情報の漏えいは解消されない。「パッチだけでは終わらない」という見出しも、こうした事情を指している可能性があるが、記事の内容は確認できていない。

意味合いとしては、PHPを動かすシステムを持つ企業では、更新の実施に加えて、対象システムの洗い出しや、侵害の痕跡の確認までが検討事項になるとみられる。対応の優先度は、一次情報で影響範囲を確かめたうえで判断する必要がある。