ThinkPHP のリモートコード実行の脆弱性（CVE-2019-9082）

何が起きた

PHP でウェブサイトを作るための土台（フレームワーク）である ThinkPHP に、特定の形のアドレスにアクセスするだけで、サーバー上で攻撃者が選んだコマンドを実行できてしまう弱点が見つかりました。CISA は、この弱点が実際に悪用されたことを確認しています。NVD の評価では、ログインしていない攻撃者がネットワーク経由で悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

ThinkPHP で作られたウェブサイトや製品を運用している人・組織が対象です。NVD の説明では、3.2.4 より前の ThinkPHP が影響を受け、Open Source BMS v1.1.1 などの製品でも使われているとされています。ThinkPHP の公式の更新情報は、どの更新がこの弱点を直したかを CVE 番号では示していません。

何をすればいい

使っている ThinkPHP の版を確かめてください。3.2 系なら、公式が「累積のセキュリティ更新」として出した 3.2.4 以降にします。5.x 系を使っている場合は、公式が「セキュリティ更新を含む」として出した 5.0.23 または 5.1.31 以降になっているかも確かめます。ThinkPHP を組み込んだ製品を使っている場合は、その製品のメーカーが更新を出していないか確かめ、あわせて ThinkPHP の公式の案内を確認してください。

やることチェックリスト

• 使っている ThinkPHP の系列と版を確認する
• 3.2 系なら 3.2.4 以降に更新する
• 5.x 系なら 5.0.23 か 5.1.31 以降に更新する

用語メモ

フレームワーク

ウェブサイトやアプリを作るときに、よく使う仕組みをまとめて用意した土台のようなソフトです。

コマンド

コンピューターに仕事をさせるための命令です。