PHP Group PHP のOSコマンドインジェクションの脆弱性（CVE-2024-4577）

何が起きた

Windows で Apache と PHP-CGI を組み合わせて使う場合に、OS コマンドインジェクションの弱点が見つかりました。特定のコードページ（文字の割り当て表）を使う設定では、Windows の「Best-Fit」という文字の置き換えによって、ある文字が PHP のオプションとして解釈されてしまいます。その結果、スクリプトのソースコードを読まれたり、サーバー上で好きな PHP のコードを実行されたりするおそれがあります。ネットワーク経由で、ログインしていない攻撃者でも悪用でき、実際の悪用が確認され、ランサムウェアの攻撃にも使われたことが分かっています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Windows で Apache と PHP-CGI を使っている人・組織が対象です。影響を受けるのは PHP の 8.1 系の 8.1.29 より前、8.2 系の 8.2.20 より前、8.3 系の 8.3.8 より前です。PHP の勧告では、Windows の地域が日本、中国、香港、マカオ、シンガポール、台湾の場合に影響を受けるとされています。この弱点は、以前の CVE-2012-1823 への修正をすり抜けるものです。

何をすればいい

使っている系列に応じて、8.1.29、8.2.20、8.3.8 以降に更新されているか確認してください。あわせて公式の案内を確認してください。

やることチェックリスト

• Windows 上で PHP-CGI を使っているか調べる
• PHP を 8.3.8 など修正版以降に更新する
• 8.1 系なら 8.1.29、8.2 系なら 8.2.20 にする

用語メモ

PHP-CGI

Web サーバーから PHP のプログラムを動かすための方式の1つです。

OS コマンドインジェクション

入力に命令を紛れ込ませ、サーバーの OS に本来は許されていない命令を実行させる攻撃です。

コードページ

文字をコンピューター内の番号に割り当てるための表です。言語や地域ごとに違うものが使われます。