アシュアードは10月23日、PHPの重大な脆弱性に伴う国内組織のWebサイト・サービスの停止状況について、速報調査の結果を発表した。

同日14時時点で、X上から累計502件の停止告知を確認した。このうち再開告知が確認できたのは217件だった。残る285件については再開告知を確認できていないという。同社は、復旧を長期化させる要因として、利用中のPHPのバージョン把握やEOL（サポート終了）への対応といった課題がある可能性を指摘している。

PHPの重大な脆弱性、国内でもWebサイトやサービスの停止相次ぐ

アシュアードが運営する脆弱性管理クラウド「yamory」は10月23日、PHPの重大な脆弱性に関する速報調査レポートを公開した。調査は、10月23日14時時点の情報を基にしている。

PHPはWebサイトやWebアプリケーションの開発に広く利用されているプログラミング言語である。今回の調査は、10月21日に重大な脆弱性が公表されたことを受けて実施された。

アシュアードによると、今回の脆弱性はPHPで構築されたWebサービスのほぼ全てが対象になるという。脆弱性が悪用された場合、サーバを外部から不正に乗っ取られる可能性がある。顧客情報の窃取やWebサイトの改ざんなどにつながるリスクもあるとしている。

停止告知は502件、うち285件で再開告知を確認できず

アシュアードの独自調査によると、脆弱性公表後にWebサイトやサービスを一時的に停止する動きが広がった。10月21日夜から停止告知が急増したという。

10月23日14時時点では、累計502件の停止告知を確認した。このうち、対策後に再開したことを知らせる告知を確認できたのは217件だった。

残る285件については再開告知を確認できなかった。停止告知全体の約6割に相当する。

ただし、この285件が実際にサービスを停止し続けているとは限らない。今回の調査はX上の公開投稿を基にしているためだ。サービスを再開していても、X上で再開を告知していなければ「再開告知未確認」として集計される。

また、X上で停止を告知していない組織も調査対象には含まれない。国内で発生した全ての事案を網羅した数字ではない点にも注意が必要だ。

  • 図表

復旧長期化の背景にEOL対応の可能性

アシュアードは、安全にサービスを再開するまでに時間を要する背景について複数の可能性を指摘している。

その1つが、自社や外部委託先で使用しているPHPのバージョンを特定する作業だ。どのシステムでどのバージョンが稼働しているかを把握できていない場合、対応に時間がかかる可能性があるという。

EOLを迎えたバージョンの利用も課題になり得るとしている。サポート終了版では修正パッチが提供されないケースがある。その場合、上位バージョンへの移行や、移行による他機能への影響確認などが必要になる可能性がある。

平時からのEOL管理とIT資産の可視化を提唱

今回の調査結果を受け、アシュアードは企業が取り組むべき4つの対応を提示した。

1つ目は、自社と委託先におけるシステムの利用状況の可視化だ。自社運用のWebサイトだけでなく、外部委託先やクラウド環境を含め、PHPの利用箇所を洗い出すことを挙げている。

2つ目は、稼働しているバージョンの特定と修正版への更新だ。影響を受けるバージョンかを確認し、修正版へのアップデートや回避策を適用するよう求めている。

3つ目はEOLの計画的な管理だ。ソフトウェアのサポート終了時期を平時から把握し、計画的なバージョンアップを運用プロセスに組み込むことを提案している。この考え方はPHPに限らず、全てのソフトウェアを対象としている。

4つ目は、トリアージ基盤と継続的な管理体制の整備だ。保有するIT資産と脆弱性をひも付け、事業への影響度に応じた優先度判断を迅速化できる仕組みを平時から用意する必要があるとしている。