PHPに緊急の脆弱性2件｜WordPressサイトで確かめることと、修正版への更新

日本時間の10月21日23時、PHPの開発チームが、深刻な脆弱性2件を直した修正版を公開しました。ログインしていない人が細工した通信を送るだけで、サーバーの上で好きなプログラムを動かせてしまう（リモートコード実行）おそれがある脆弱性です。

深刻度はどちらも、CVSS v4.0で9.2。WordPressはPHPで動いているので、ほぼすべてのWordPressサイトに関わる話です。翌22日には、海外のセキュリティ会社から攻撃の通信を観測したという報告が出始め、国内のレンタルサーバー各社も管理画面を止めるなどの対応に追われました。

公式の発表と各社のお知らせをもとに、自分のサイトが当てはまるかの確かめ方と、やることをまとめました。

何が起きたのか

PHPの公式サイトに、セキュリティの注意喚起が掲載されました。

修正されたのは、PHP 8.5.12、8.4.27、8.3.36、8.2.35です（①）。脆弱性は次の2件です（②）。

公式の発表では、Webの通信を処理しているすべてのPHPが対象とされています。PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedです。中でもmod_phpは最も危険が高く、ログインしていない人の通信で、WordPressなどのプログラムが動く前に攻撃できることが確かめられているとしています。

参考：Security advisory: Critical remote code execution vulnerabilities, update now（PHP）

攻撃はもう始まっているのか

この脆弱性は「PHP2Shell」と呼ばれ、修正版が出る前から内容の一部が出回っていました。海外のセキュリティ会社の一部（watchTowr、Patchstackなど）は、この脆弱性を狙う通信を観測したと報告しています。

一方で、PHPの開発チームは攻撃の有無に触れていません。米国のCISAが出している「実際に悪用された脆弱性の一覧（KEV）」にも、10月22日の時点では載っていません。報告している会社によって見方が分かれている段階です。

どちらにしても、攻撃の手順が広まる前に修正版にしておくのが一番です。

参考：PHP Issues Emergency Patches for Two Critical PHP2Shell RCE Flaws as Exploit Attempts Emerge（The Hacker News）

自分のサイトが当てはまるか確かめる

WordPressの管理画面の「ツール」→「サイトヘルス」→「情報」タブを開き、「サーバー」の欄を見ます。

• PHP バージョン（①）：使っている系統ごとに、次の番号より古ければ対象です
• PHP SAPI（②）：PHPの動かし方。「apache2handler」と出ていればmod_phpで、最も危険が高い形です。上の画面の「fpm-fcgi」はPHP-FPMです

たとえば上の画面のテストサイトは「8.2.29」なので、8.2.35より古く、対象です。

やること

レンタルサーバーなら、サーバー会社のお知らせを確かめる

レンタルサーバーでは、PHPそのものの更新はサーバー会社が行います。公式の発表によると、Linuxのディストリビューションや長期サポートを提供する会社には、修正が事前に渡されています。

主なレンタルサーバーの公式のお知らせをまとめました（10月22日昼の時点）。

各社の対応は日ごとに進んでいます。最新の状況は、リンク先のお知らせで確かめます。更新が終わったと案内されたら、サイトヘルスでPHPのバージョンが上がったかを見ます（独自の修正を当てる会社では、番号が変わらないこともあります）。

古いPHPのままなら、新しい系統に切り替える

8.1系以前を使っている場合、PHPの開発チームからは修正版が出ません。エックスサーバーのように古いバージョンにも独自の修正を当てるサーバー会社もありますが、すべての会社がそうとは限りません。レンタルサーバーなら、管理画面で新しいPHPのバージョンに切り替えるのが確実です。

切り替える前に、使っているテーマやプラグインが新しいPHPに対応しているかを確かめます。TCDテーマを使っている場合は、下の「TCDテーマの更新は必要？」で説明します。

PHPのバージョンの確かめ方と切り替え方は、こちらの記事で紹介しています。

自分でサーバーを管理しているなら、すぐに更新する

VPSや専用サーバーで自分でPHPを管理している場合は、ディストリビューションの更新パッケージや、公式のソースから修正版に更新します。公式の発表では、有志が運営している rpms.remirepo.net は当日の更新がないため、ディストリビューションのパッケージに切り替えるか、ソースから作るよう呼びかけています。

すぐに更新できない場合の一時的な対策として、memory_limit を -1 にする、post_max_size を小さくする、session.upload_progress.enabled を 0 にする、などが挙げられています。ただし公式は、どれも攻撃の一部の道筋を減らすだけで、安全にはならないとしています。完全な対策は、修正版への更新だけです。

TCDテーマの更新は必要？

今回の脆弱性は、PHPそのものにあるものです。テーマやプラグインを更新しても直らず、PHPを修正版にすることでしか直りません。

ただし、PHPを修正版にするためにテーマの更新が必要になる場合があります。今使っているPHPの系統で分かれます。

古いPHPのまま動いているサイトは、テーマも古いバージョンのままのことがよくあります。テーマが古いままPHPだけを上げると、「このサイトで重大なエラーが発生しました」と出たり、表示が崩れたりすることがあります。TCDテーマでは、PHP 8系で出るエラーの修正を2022年から順に入れてきました。2024年より前に入手した版は、PHP 8.2以上でエラーが出るおそれがあります。次の順番で進めます。

1. サイトのバックアップを取る
2. テーマを最新版に更新する
3. PHPを8.4か8.3に切り替える
4. サイトの表示と管理画面を確かめる。不具合が出たら、PHPを元の系統に戻す

最新版のTCDテーマは、全テーマでPHP 8.4まで対応しています。PHP 8.5への対応は、現在進めています。対応が済んだテーマは、対応表でお知らせします。

すぐにテーマを更新できない場合は、使っているサーバー会社が古い系統のPHPにも独自の修正を当てているかを、上の「レンタルサーバーなら、サーバー会社のお知らせを確かめる」の表で確かめます。ただし、独自の修正があるのは一部のサーバー会社だけです。古い系統を使い続けることになるので、早めにテーマの更新とPHPの切り替えを済ませます。

まとめ

今日やることは、サイトヘルスでPHPのバージョンを見ることです。修正版より古ければ、レンタルサーバーの会社のお知らせで対応が済んだかを確かめ、まだなら更新を待つか、新しい系統に切り替えます。

8.1系以前のまま動いているサイトは、今回の修正版を受け取れません。これを機に、テーマを最新版にしてからPHPを新しい系統に上げておくと、次の脆弱性が見つかったときも慌てずに済みます。