PHP FastCGI Process Manager (FPM) のバッファオーバーフローの脆弱性（CVE-2019-11043）

何が起きた

PHP の FPM（Webサーバーと PHP をつなぐ仕組み）で、特定の設定のときに、確保したメモリの範囲を超えてデータを書き込んでしまう弱点が見つかりました。その結果、攻撃者が任意の（好きに選べる）プログラムを動かせる可能性があります。ネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用できるとされています。実際の悪用が確認されており、ランサムウェア攻撃での悪用も知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

PHP を FPM の形で動かしている Webサーバーの管理者が対象です。影響を受けるのは、7.1.x の 7.1.33 より前、7.2.x の 7.2.24 より前、7.3.x の 7.3.11 より前で、しかも FPM が特定の設定になっている場合です。どの設定が当てはまるかの詳細は、このデータからは不明です。

何をすればいい

PHP を 7.1.33、7.2.24、7.3.11 以降に更新されているか確認してください。PHP の変更履歴では、この弱点（バグ番号 78599）が修正済みと記載されています。Linux の配布元が用意した PHP を使っている場合は、配布元の更新も確認してください。あわせて、公式の案内を確認してください。

やることチェックリスト

• PHPのバージョンとFPMの利用有無を調べる
• 7.3.xは7.3.11以降に更新する
• 7.2.xは7.2.24以降、7.1.xは7.1.33以降にする

用語メモ

FPM

FastCGI Process Manager の略で、Webサーバーから届いた依頼を受けて PHP のプログラムを動かす仕組みです。

ランサムウェア

データを使えない状態にして、元に戻すことと引き換えにお金を要求する悪いプログラムです。