PHPの脆弱性を突く攻撃が横行、アップデートの早期適用を

PHPの更新版となるPHP 5.4.3／5.3.13では2件の脆弱性が修正された。このうちこのうちの1件では既に攻撃の発生が伝えられている。

[鈴木聖子，ITmedia]

　オープンソースの開発言語PHPの更新版となるPHP 5.4.3／5.3.13が5月8日付でリリースされた。同リリースでは2件の深刻な脆弱性に対処している。このうちの1件は既に攻撃の発生が伝えられていることから、セキュリティ企業などがパッチの適用を急ぐよう呼び掛けている。

　8日のリリースではPHPをCGIモードで利用している場合に影響を受ける脆弱性を修正したほか、PHP 5.4.3では「apache_request_headers()」に存在するバッファオーバーフローの脆弱性にも対処した。2件目の脆弱性はPHP 5.3系は影響を受けないという。

　CGI関連の脆弱性は、3日にリリースされたPHP 5.3.12／5.4.2で解決されたはずだった。しかし後に、このリリースは不完全だったことが判明。PHP 5.4.3／5.3.13はこの問題の完全な解決を意図したものとなる。

　セキュリティ企業のTrustwaveは7日の時点で、このCGI関連の脆弱性を悪用しようとする動きが頻発していると報告。Sucuri Securityの8日のブログによれば、先の週末ごろから脆弱性のあるサーバをスキャンして探し出そうとする動きが出始め、実際に侵入されたWebサイトも確認されているという。CGI関連の脆弱性情報が公開された時点から、悪用されるのは時間の問題だったと同社は述べ、できるだけ早くPHPのアップデートを適用するか、CGIセットアップの使用を中止するよう呼び掛けている。