PHPの緊急の脆弱性への対応状況について

脆弱性の概要

PHPは、世界中のウェブサービスで広く使われているプログラムの言語です。開発チームは10月21日（日本時間23時ごろ）に修正版を公開し、2件の脆弱性を直しました。

開発チームは、更新のほかに完全な対策はないとしています（PHP 8.5.12 公開のお知らせ、Qualys の解説）。

当社サービスへの影響

ulsta.jp（ウルスタくん、ウルスタ BB、ウルスタ アカデミー）とヘヤスタ（heyasta.jp）は、同じサーバーの上で、修正前の PHP 8.5.11 で動いていたため、対象に含まれていました。現在はいずれも修正版の PHP 8.5.12 で動いています。

10月20日から22日朝までのアクセスの記録を確認しました。この脆弱性をねらった攻撃が成功した痕跡や、お客様の情報が外部に漏れたことを示す痕跡は、現時点で見つかっていません。それでも念のため、サーバーが決済やメール受信などの外部サービスとやりとりするための鍵を、新しいものに替えました。

対応の経過

修正版の公開前に暫定の対策を入れ、公開から約6時間半後に修正版への更新を終えました。時刻はすべて日本時間です。

日時（日本時間）	対応
10月21日	影響を受けるサービスと PHP のバージョンの確認を開始
10月21日 19時50分	以前使っていたサーバーに残っていた不要なファイルを公開場所から外し、20時13分に削除
10月21日 21時00分	修正版を待つあいだの暫定の対策（攻撃の入口になりうる機能の停止）を反映
10月21日 23時ごろ	PHP の開発チームが修正版を公開
10月21日 23時17分	修正版への更新を開始。配布元の部品がまだ修正版に切り替わっておらず、この時点では更新されず
10月22日 5時37分	修正版 PHP 8.5.12 への更新を終え、正しく動いていることを確認
10月22日 6時00分	サーバーを管理するアカウントのログイン確認（2段階認証）を強化
10月22日 6時45分	この後のサービス更新でも修正版のまま動いていることを確認
10月22日 13時20分〜13時54分	念のため、決済や反響メールの受信などに使う鍵を新しいものに替え、古い鍵を使えなくした

今後の対応

お客様の側で行っていただく操作はありません。当社では次の対応を続けます。

• アクセスの記録の確認を続け、異常が見つかった場合はすぐにお知らせします
• PHP に新しい修正が出た場合は、すみやかに反映します
• サービスを更新するたびに、修正版で動いていることを確かめます

会社概要