中国工業情報化省のネットワーク安全脅威・脆弱性情報共有プラットフォーム（NVDB）は10月22日、ウェブサイト構築などに使うPHPの重大な脆弱性について、関係機関や利用者に全面的な点検と更新を求めた。騰訊雲（テンセントクラウド）や阿里雲（アリババクラウド）も対策を案内し、北京大学は学内サイトや業務システムの管理者に緊急対応を要請した。
脆弱性は2件で、特定の条件下では、認証を受けていない攻撃者がサーバー上で不正なプログラムを実行できる。NVDBは、サーバーの乗っ取りや機密情報の流出、業務停止につながる恐れがあると警告した。ただし、今回確認した中国当局や各社の公表資料では、中国国内の被害件数や情報流出の規模は示されていない。
更新できないシステムは隔離やアクセス制限
NVDBは、使用状況を直ちに点検し、安全な最新版へ更新するよう求めた。すぐに更新できない場合は、一時的な公開停止、ネットワークからの隔離、アクセス制限などの措置を挙げた。監視と管理を強化し、アカウントやパスワード、認証用の鍵なども適時変更するよう促した。
テンセントクラウドは21日付の通告で、利用者に自主点検と更新を要請。自社のサーバー保護サービスで脆弱性の検出に対応し、ウェブアプリケーション用とネットワーク用のファイアウォールでも防御に対応したと説明した。同社の「EdgeOne」も攻撃通信を遮断するルールを提供したが、監視だけを行う設定では通信を遮断しないとして、設定の確認を求めた。
アリババクラウドも、ファイアウォールの対象にPHPを使うサイトが含まれ、実際の通信が防御機能を通過しているか確認するよう案内。こうした防御策はPHP本体の更新に代わるものではないと明記した。
北京大学、修正困難なら学内限定に
北京大学計算センターは22日、校内のサイトや業務システムについて、運用担当者やサービス提供会社に確認するよう通知した。当面修正できないシステムは学内からのアクセスに限定し、早急に更新するよう求めた。
同センターは、サイトのプラグインやテーマの更新だけでは修正できないと説明。修正版のPHP 8.5.12、8.4.27、8.3.36、8.2.35などへの更新後も、実際に稼働する版や主要機能の動作を確認するよう促した。
#中国 #PHP #脆弱性 #工業情報化省 #テンセントクラウド #アリババクラウド #北京大学 #サイバーセキュリティー
出典
- 工信部NVDB发布关于防范PHP远程代码执行超危漏洞的风险提示
- 【安全通告】PHP “php2shell” 远程代码执行漏洞风险通告（CVE-2026-109618, CVE-2026-109619）
- 【EdgeOne】关于针对 PHP 核心远程代码执行漏洞的防护公告
- PHP 被曝严重远程代码执行漏洞，阿里云快速防护指南速览
- 关于防范PHP远程代码执行漏洞的紧急通告