PHPのセキュリティ脆弱性2件で政府が緊急点検を指示

PHPにおいて認証なしにサーバーのコマンドを実行できる脆弱性2件が確認された。PHP（ウェブサイトの作成に使われるプログラミング言語）の深刻なセキュリティ欠陥であり、科学技術情報通信部と韓国インターネット振興院（KISA）は、PHPベースのウェブサービスを運営する国内企業・機関に緊急のセキュリティ点検を要請した。

PHPはホームページやオンラインショッピングモール、掲示板、管理者システムなど多様なウェブサービスの開発に使われる言語だ。国内で広く使われているWordPressやGNUBoardもPHPベースで運用されている。問題の脆弱性では、IDやパスワードの入力なしに不正なリクエストをサーバーに送信し、任意のコマンドを実行できる。攻撃が成功すれば、ウェブシェルの設置や顧客情報の窃取、ウェブサイトの改ざん・機能停止などの被害につながる可能性がある。

今回の脆弱性は、個別のホームページプログラムではなくPHP自体に起因するものだ。ホームページソフトウェアを安全に管理していても、脆弱なPHPバージョンを使用していれば攻撃対象となり得る、と政府は説明している。

EUのCERT-EUや英国・オランダ・ドイツなどの機関は、今回の脆弱性を致命的なレベルと評価し、迅速なセキュリティアップデートを勧告した。即時のパッチ適用が困難な場合は、システムのインターネット接続を遮断するか、サービスを一時停止する対策も提示された。PHP開発チームは現地時間21日、脆弱性を修正したセキュリティアップデートを公開した。KISAも同日、BohoNara（保護ナラ）のホームページを通じてセキュリティ勧告を案内した。

PHP 8.1以下などサポートが終了したバージョンを使用している場合は、上位バージョンへ移行する必要がある。アップデート完了後はウェブサービスを再開し、サーバーのアクセス記録、異常なコマンドの実行有無、ウェブシェルなどの不審なファイルが作成されていないかを確認しなければならない。侵害の形跡が見つかった場合は、速やかにKISAへ報告し対応手順を踏むよう求めている。KISAは主要企業の情報保護責任者（CISO）届出企業や主要情報通信基盤施設、情報保護マネジメントシステム（ISMS）認証企業、ウェブホスティング事業者、インターネットデータセンター（IDC）、サイバー脅威情報共有体系（C-TAS）会員社などに関連内容を緊急に周知した。

俰京勲（ペ・ギョンフン）副総理兼科学技術情報通信部長官は、通常の脆弱性点検と事後のパッチ適用だけでは今回の脅威に対応するのは困難だとし、インターネット接続資産の迅速な遮断やウェブアプリケーションファイアウォール（WAF）ルールの先行的適用など、自動化された対応体制の構築の必要性を強調した。俰副総理は、中小企業を対象としたセキュリティ点検と事後対策について関係省庁と協議する方針を明らかにした。