PHPに重大脆弱性、パッチ前に悪用の報告相次ぐ
姉妹サイトの新着
PHPの開発チームが「近日中に重大なセキュリティリリースを出す」と予告したことを受け、Hacker Newsでは公開前から対応に追われる技術者たちの声が相次いだ。実際に自分のサイトで検証してデータベースを丸ごと抜き取れたと報告する人や、暫定対策とされるphp.iniの設定変更をコア開発者が「それだけでは不十分」と否定する場面もあった。パッチが出るまでPHPを使ったサービスを止めるべきかどうかで、意見が割れている。
PHPの緊急セキュリティリリースが近日公開予定
出典: news-web.php.net / 元記事はこちら
今できることは2つある。1. session upload progressを無効化する 2. Webサーバー側でmultipartリクエストをブロックする 詳細はこちら:
>>5 可能なら、パッチが出るまでPHPアプリを止めてしまった方がいい。
自分の個人サイトで試したら、データベースを全部抜けた。すぐに全サイトを停止したよ。これはマズい。
>>6 自分でも試して、止めるべきか確認したい。個人で6桁(ドル)規模のステルス事業をやってて、本業のフィンテックは9桁規模、どっちもPHPだから結構焦ってる。
>>45 これをベースに使った(リンク参照)。ただ他人の書いたエクスプロイトPoCをそのまま動かすのはさすがに怪しいから、それを参考に自分で作り直した。まずVMで試してから、本番サイトに対して実行したよ。
>>45 フィンテックで9桁稼いでるの?採用してる?
念のため、うちのMediaWikiサイトを一時的に止めた。Twitterに上がってる動画が結構怖い…
>>11 その動画、たぶんこれだと思う:
初歩的な質問だけど、OAuthで保護されたバックエンドでも影響を受ける?
>>15 バックエンドに到達できるなら影響を受ける。PHPに到達する前段、つまりnginxやcaddy、apacheの設定でOAuth認証を挟んでいるなら、全パスがカバーされている前提で影響は受けない。
>>15 誰でもログインできるなら、たぶん影響を受ける。信頼できる人だけがログインできるなら、たぶん大丈夫。
>>15 多分影響を受けると思う
これで大量のWordPressサイトがやられるだろうな。
>>17 じゃあ今週はShopify株を買っておくべきだな。俺は明日の朝一で買うよ。
修正版のPHPが出るまで、multipart/form-dataリクエストを全部ブロックするだけで対策として十分?
>>20 PHPのコア開発者によれば、出回っている対策はどれも不十分で、可能ならパッチが出るまでPHPアプリを止める必要があるとのこと。
>>20 そう、実際多くの人がそうしてる。
>>20 いや、十分じゃない。できるならPHPを使っているものは全部、パッチが出るまで止めるべき。
これのせいで今夜は徹夜になる人が多そうだ。
>>21 簡単に悪用できる、かなり深刻な脆弱性なんだろうな。こういう『いつリリースするか』の事前予告自体、今まで見たことがない。
X(Twitter)のユーザーがこう言ってる。一時的な対策として、php.iniで session.upload_progress.enabled = Off にすればいいと。
>>22 それ、効かないよ
一応、暫定的な対策があるらしい。php.iniで session.upload_progress.enabled = Off にする、というもの。
>>24 PHPのコア開発者によれば、それだけでは不十分らしい。詳細は明かされていないけど、やっておいて損はないはず。
>>24 念のため言っておくと、この時点でPHP側はこれを正式な対策として認めていない。
どのバージョンが影響を受けるか、ヒントは無いの?
>>28 これらの脆弱性はPHP 5以降の全バージョンに影響する可能性があるらしい。つまりPHP 5、6、7、8のすべてが対象とのこと。
他サイトの新着
これはPHPにとって最後の一撃になるかもしれない。
>>31 むしろCで書かれた処理系が終わりを迎えて、Rust化が進む流れになるんじゃないかな。
>>31 それ、ジョークだよね?ジョークなのか本気なのか分からない。
>>31 LLMのセキュリティ面での『実力』を考えると、同じような問題がNode.jsやJava、Go、Rustなどにも広がる覚悟をしておいた方がいい。
史上最大級になりそうな脆弱性なのに、コメントが53件しかついてない?なぜもっと話題になっていないのか理解できない。エクスプロイトはもう出回っていて、実質どのPHPサイトにもシェルアクセスできるレベルなのに。
>>32 ヨーロッパではまだ早朝だし、米国の一部では夜の時間帯だからね。これまで出てた情報は『パッチが出たら明日更新してね』レベルで、詳細はまだ公開されていなかった。
>>32 みんなサーバーのアップロード機能を切るのに忙しいんだよ
正直な質問として、今もPHPを使ってるのは誰?雑多なサイトが山ほどあるのは分かるから大事になるのは分かる。でも大手にも影響する?Metaとかは結構PHPを使ってる印象だけど、あれだけカスタマイズされていたら、この問題からは無縁なんじゃないかな。
>>39 なぜか編集者やライターはWordPressが大好きで、それだけでインターネットの4割くらいを占めてる。そこに他のPHP系サービスも加わる。自分の本業ではWordPressをVPNの内側に置いて、JSON APIで記事データを別言語で書いたフロントエンドサーバーに送る構成にしてる。フロント側のプラグイン機能を一部重複して作る手間はあるけど(なるべくプラグインは使わないようにしてる)、その分安心感は得られる。
>>39 全米で数百万席規模のユーザーを抱える、かなり大きなUCaaS系ソフトウェアがPHP 7.4で動いてるのを知ってる。
>>7 これでLAMP構成のWordPressが大量にやられるだろうね。PHPのバージョンがもうパッチを受けられない、ホスティングを業者に委託していて管理が行き届いていない、独自サーバー群を運用している会社が管理している、とかのケースで。
>>48 すごく古いphpBBの掲示板がいくつか思い浮かぶけど、やられたらもう二度と復旧しないだろうな。
>>48 管理者が更新する前に本格的に悪用されるのを防ぐために、脆弱なPHPサーバーに次々ログインして止めて回るボットみたいなものが、ほぼ必要なレベルだな…
この話題の背景と論点
今回の騒動のきっかけは、PHP公式のメーリングリストphp.announceに投稿された「近日中に重大なセキュリティリリースを行う」という事前予告だった。技術的な詳細を伴わない予告自体が珍しく、スレではこの一報だけで異例の緊迫感が生まれた。影響を受けるバージョンはPHP 5から8までと幅広く、公式パッチが出る前にPoC(検証用攻撃コード)が出回ったため、修正が追いつく前に悪用されるいわゆる「レース」状態になっていた点が背景にある。スレ内で言及されたphp.iniの設定変更は、あくまで有志が見つけた応急処置であり、PHP側が公式に認めた対策ではない。コア開発者自身が「不十分」と明言している点は、公開情報を追う上で見落とされやすい。
※本記事は海外掲示板 Hacker News のスレッド「Upcoming critical PHP security release」から抜粋し、編集部で日本語に意訳したものです。訳文の責任は当サイトにあります。
この記事のリアクション
まだコメントはありません。