「PHPに重大な脆弱性があると聞いた」「使っている通販サイトや、自分のWordPressは大丈夫？」というときは、まずサイトを見るだけなのか、PHPで動くサイトやアプリを管理しているのかを分けて考えましょう。
PHPは主にWebサーバー側で動くプログラミング言語です。PHPの脆弱性が発表されても、通常のサイト閲覧だけで、自分のパソコン内のPHPを更新する必要が生じるわけではありません。一方、利用先のサイトが攻撃されれば、登録情報の漏洩などを通じて影響を受ける可能性があります。
この記事では、PHP本体の脆弱性と一般ユーザーへの影響を中心に、確認する場所と安全な対処の順番を説明します。
PHPの脆弱性とは？問題が起きる場所と主な原因
PHPはWebサイトの裏側で処理をする仕組み
PHPは、お問い合わせフォームの処理や会員ページの表示などに使われます。WordPressもPHPで動く仕組みの一つです。多くの場合、PHPを実行するのはサイト運営者が利用するサーバーで、閲覧者のブラウザーには処理後のページが送られます。
「脆弱性」とは、ソフトウェアなどに存在するセキュリティ上の弱点です。PHP本体の不具合が悪用されると、条件によってはサーバー上で意図しない処理を実行されたり、サービスが停止したりするおそれがあります。すべての脆弱性で同じ被害が起きるわけではありません。
古いPHP、特定の実行方式、関連ソフトの不備が関係する
主な確認対象は、修正前のPHPを使っていないか、問題が生じるOSや実行方式に該当するか、という点です。「PHPを使っている」という事実だけでは、影響の有無は判断できません。
また、PHP本体の脆弱性と、PHPで作られたアプリの脆弱性は別です。例えばWordPressのプラグインに問題がある場合、PHPだけ更新しても解消しません。反対に、WordPress本体を更新しても、サーバー側のPHPまで更新されるとは限りません。
修正済みでも更新されていない環境や、公式のセキュリティサポートが終了した系列を使い続ける環境は、見直しが必要です。ただし、サーバー事業者などが独自に修正を提供する場合もあるため、番号だけでなく提供元の説明を確認します。
公開された脆弱性情報をどう読めばよいか
CVE-2024-4577から分かる「影響条件」の重要性
公開済みの事例に、2024年に公表されたCVE-2024-4577があります。CVE番号は、個々の脆弱性を識別するための番号です。この問題は、Windows上で特定のCGI構成によりPHPを動かす環境などで、文字の変換処理が関係し、外部から意図しないコードを実行される可能性があるものでした。
CGIとは、Webサーバーから別のプログラムを呼び出して処理する方式の一つです。ここで重要なのは、「Windowsパソコンを使っている人が全員対象」という意味ではないことです。日本語環境が関係する情報でも、通常の閲覧用パソコンと公開サーバーを混同しないようにします。
この事例だけを確認すれば、現在のPHPの安全性が分かるわけではありません。後から別の脆弱性や追加の修正が公表されることもあるため、過去の修正版をそのまま現在の推奨版と考えないでください。
最新情報は公式の更新履歴と契約先の案内で確認する
本記事は公開済みの事例を説明するもので、公開時点の全脆弱性や最新リリースをリアルタイムで照合した一覧ではありません。実際の更新判断では、次の情報を確認してください。
- PHP公式のサポート対象バージョン：利用中の系列に修正が提供される期間を確認する。
- PHP公式の変更履歴：各リリースで修正された内容を確認する。
- レンタルサーバーやアプリ提供元の告知：自分の契約環境が対象か、利用者側の操作が必要かを確認する。
確認する項目は、公表日、対象バージョン、成立する条件、修正版、回避策です。見出しの「重大」という表現だけで操作を決めず、契約先の案内と照合しましょう。
一般ユーザーとサイト管理者で異なる影響
Webサイトを利用するだけの人
利用先のサーバーが攻撃を受けると、会員情報の漏洩、ページの改ざん、偽の入力画面への誘導、サービス停止などにつながる可能性があります。ただし、脆弱性が存在することと、実際に攻撃されて情報が漏れたことは同じではありません。
通常のブラウザー利用だけなら、PHPの更新はサイト運営者側の担当です。利用者は、運営元からの正式な告知と、自分に必要な対応を確認します。パソコンのセキュリティソフトを更新しても、利用先サーバーのPHPの問題そのものは修正できません。
WordPressやPHPアプリを管理している人
ブログや会社のサイトを管理している場合は、サーバー側のPHPが確認対象です。レンタルサーバーでは事業者が修正版を適用することもあれば、管理画面で利用者が系列を切り替えることもあります。
開発用ツールや一部の業務アプリにPHPが含まれる場合もあります。手元のパソコンで動いていても、外部から接続できる設定かどうかで影響は変わります。アプリに同梱されたPHPは、原則としてそのアプリの提供元の方法で更新します。
自分で確認できるポイント
- 自分の立場：サイトの閲覧者か、サイト・サーバー・アプリの管理者か。
- 情報の出所：運営元や契約先の正式な告知か、出所の分からないメールや広告か。
- 利用中の環境：PHPの系列と細かな番号、サーバーのOS、実行方式は何か。
- 更新の担当：サーバー事業者、制作会社、社内管理者、自分のうち誰が担当するか。
- 被害を疑う変化：身に覚えのない管理者追加やページ変更、運営元からの漏洩通知がないか。
WordPressでは、管理画面の「ツール」から「サイトヘルス」を開き、「情報」のサーバー関連項目でPHPバージョンを確認できる場合があります。表示場所は環境により異なるため、レンタルサーバーの管理画面と併せて確認してください。
一つの契約で複数サイトを運用している場合は、サイトごとに設定が異なることがあります。また、コマンド操作用のPHPとWebサイト用のPHPが別の場合もあるため、一つの画面の番号だけで全体を判断しないことが大切です。
サイトが普通に表示されることは、安全性の証明にはなりません。一方、エラーや表示崩れだけで脆弱性の悪用と断定することもできません。気付いた日時と画面、変更履歴を記録しておきます。
今すぐできる対処法を安全な順番で進める
1．閲覧者は正式な告知を確認する
サイトを利用するだけの人は、メール内のリンクをすぐに開かず、普段使うブックマークや公式アプリから運営元の案内を確認します。脆弱性のニュースだけで、パソコンの初期化やPHPのインストールをする必要はありません。
情報漏洩などが正式に案内された場合は、運営元が指定する対象期間や情報の種類を確認します。パスワード変更が求められたら、正規サイトで変更してください。同じパスワードを別サービスでも使っていた場合は、そちらも個別のものに変更します。
2．管理者は対象環境と更新方法を確認する
サイト管理者は、契約先の告知と利用中のPHPを照合します。「自動対応済み」「利用者による切り替えが必要」「調査中」では、取るべき行動が異なります。対象外と判断する場合も、OSや実行方式など、判断の根拠を残しておくと後から確認しやすくなります。
会社や制作会社が管理するサイトでは、先に担当者へ確認してください。複数人が別々に設定を変えると、変更による不具合なのか、元の問題なのかを切り分けにくくなります。
3．更新前にバックアップと互換性を確かめる
PHPの系列変更により、古いテーマやプラグイン、独自プログラムが動かなくなる場合があります。更新前には、サイトのファイルとデータベースの両方をバックアップし、復元方法と保存日時を確認します。WordPressの記事や設定の多くはデータベースにあるため、ファイルのコピーだけでは不十分です。
可能なら、本番サイトとは別のテスト環境で確認します。表示だけでなく、ログイン、フォーム送信、検索、予約、購入など、実際に利用する機能を点検しましょう。PHP本体だけでなく、アプリ側が移行先のPHPに対応しているかも確認が必要です。
4．提供元が案内する修正版を適用する
互換性と復元手段を確認したうえで、事業者やアプリ提供元の手順に従って更新します。新しい系列へ移行する場合は、セキュリティ修正の有無とアプリの対応状況を両方確認してください。「数字が最も大きいもの」を選ぶだけでは安全な移行になりません。
更新後は、実際に使われているPHPの番号と主要機能を再確認します。WAFと呼ばれるWeb向けの攻撃遮断機能は補助になりますが、すべての攻撃を止められるわけではなく、修正版の適用に代わるものではありません。
5．改ざんが疑われる場合は通常の更新と分けて考える
不明な管理者アカウントや、身に覚えのないページ変更がある場合は、更新だけで対応を終えないでください。可能な範囲で画面、発生日時、アクセス記録を保存し、サーバー事業者や管理担当者へ連絡します。
個人情報の入力を受け付けるサイトでは、受付の一時停止などが必要かも担当者と検討します。すでに攻撃された環境は、PHPを更新しても、不正に置かれたファイルなどが残る可能性があります。
やってはいけない操作
- 警告メールから「PHP修復ツール」を入れる：通常の閲覧者向けに、利用先サイトのPHPを直すツールを配る必要はありません。
- 本番環境でいきなり系列を切り替える：互換性の問題で、サイトや業務機能が停止することがあります。
- 確認用ページを公開したままにする：phpinfo()などの詳細情報は、サーバー構成を外部へ知らせる場合があります。確認のためだけに安易に設置しないでください。
- 不審なファイルやログを一括削除する：原因調査に必要な記録や正常なファイルまで失うおそれがあります。
- 初期化や古いバックアップへの上書きを急ぐ：未保存の情報が消えたり、脆弱な状態を戻したりする可能性があります。
影響範囲や更新方法を判断できない場合
PHPの実行方式が分からない、独自開発の機能がある、復元手順が不明な場合は、設定変更前に管理担当者や専門業者による確認が適しています。特に、漏洩通知や改ざんの兆候がある場合は、更新作業と被害調査を分ける必要があります。
確認を依頼する際は、対象サイト、契約先、PHPの番号、受け取った告知、発生日時、直前に行った変更を整理します。公開の相談欄に管理者パスワードや顧客情報を掲載しないでください。パソコンを初期化しても、外部サーバー側の問題は解決しません。
阪神エリアでは、
・西宮市
・芦屋市
・神戸市
・尼崎市
・宝塚市
・伊丹市
・豊中市
・大阪市
などで対応相談がありました。
予約状況や地域によりますが、最短で当日の訪問対応も可能です。まずはお気軽にお問い合わせください。
よくある質問
PHPを使うサイトを見ただけで感染しますか？
PHPの脆弱性があるという理由だけで、閲覧したパソコンが直ちに感染するわけではありません。ただし、攻撃されたサイトが改ざんされ、危険なページやファイルへ誘導する可能性はあります。ブラウザーなどの更新を保ち、不審なダウンロードや入力要求には応じないでください。
Windows UpdateでPHPの脆弱性も直りますか？
通常、Windows Updateで外部サーバーのPHPは更新されません。自分のパソコンに別途入れたPHPや、アプリに同梱されたPHPも、原則としてそれぞれの提供元の更新方法を確認します。Windowsの更新とPHPの更新は、担当する範囲が異なります。
HTTPSの鍵マークがあるサイトなら安全ですか？
HTTPSは主に通信の暗号化などを担う仕組みで、サーバーのPHPに脆弱性がないことを保証するものではありません。暗号化された通信でも、接続先のサイト自体が攻撃されていれば影響を受ける可能性があります。
サーバー会社から「対応済み」と案内されれば何もしなくてよいですか？
案内の対象が自分の契約やサイトに含まれるか確認してください。PHP本体の対応が済んでいても、WordPressのプラグインや独自プログラムは別管理の場合があります。利用者側に追加作業がないと明記されていれば、根拠なく設定を変更する必要はありません。
まとめ
PHPの脆弱性への対応は、サイトの閲覧者と管理者で異なります。閲覧者は運営元の正式な告知を確認し、管理者はPHPのバージョン、影響条件、更新担当を把握することが出発点です。
更新する場合は、公式情報と契約先の案内を確認し、バックアップ、互換性確認、更新、動作確認の順に進めます。改ざんが疑われる場合は、更新だけで解決したと判断せず、記録を残して影響範囲を確認しましょう。
操作に自信がない・分からないときは、私ども専門家へご相談ください。弊社ではLINEでも、ご相談を受け付けております。
