PHP攻撃から管理者権限へ…CISAがLinux脆弱性との組み合わせを明記

PHPはWordPressなどのサイトの要求を処理するプログラムです。その下でメモリー・ファイル・権限を管理するOSの中核がカーネルです。通常、サイトの処理は割り当てられたアカウントの権限で動きます。既存のPHP脆弱性の条件に届く攻撃は、まずPHPプロセスの権限でコードを実行できます。CISAはWeb要求を処理するPHPの即時修正を引き続き求めています。従来のPHP警告

さらに、影響を受けるカーネルと攻撃条件が残っていれば、サーバー内部でより強い権限を得る二段目が可能になります。Ubuntuのセキュリティチームは、このLinux問題をローカル攻撃者による権限昇格と説明しています。ローカルとは自宅PCだけを意味せず、既にそのサーバー内でコードを動かせる位置のことです。Ubuntuの影響・修正案内

下図はCISAが示す組み合わせの可能性を役割ごとに整理したものです。全PHPサイトで成立する経路や、特定のサーバーの侵害を示す図ではありません。

%% 組み合わせで越え得る境界 · CISA KEVとUbuntu案内に基づく
flowchart TD
  A["外部からのWeb要求"] --> B["脆弱なPHPの条件を満たす"]
  B --> C["PHPアカウントでコード実行"]
  C --> D["影響するカーネルと<br/>追加の攻撃条件が残る場合"]
  D --> E["root権限を得る可能性<br/>ファイル・設定の被害が拡大"]

公式の修正説明では、ネットワークデータの断片をまとめる際、共有中の断片という印が引き継がれない問題です。後の処理が印を見落とすと、コピーしてから変えるべき共有メモリーを、その場で書き換える可能性があります。ファイル内容を置くメモリーまで意図せず変わる危険が生じます。修正は断片を動かすとき保護の印も引き継ぐ方式です。Linuxメンテナーの修正記録

共有の原本に「コピーしてから編集」と付箋があるのに、資料をまとめる際に付箋だけ落ちる状況にたとえられます。メモリー処理の原理を説明する比喩で、攻撃手順や再現方法ではありません。管理者権限まで得られると、サイトのアカウントには許されないサーバーファイルや設定も変えられ、調査範囲が広がります。

このLinux問題は5月から公表されています。10月の変化は悪用リストへの追加とPHPとの組み合わせの説明です。配布元によって構成や修正パッケージが違うため、全Linuxサーバーが影響を受けるとはまとめられません。

例えばUbuntuの基本linuxパッケージは、24.04 LTSでは6.8.0-124.124で修正済みと記載されています。同じ案内に他のカーネルパッケージもあるため、この番号を全サーバー共通の境界には使えません。AWSはAmazon LinuxとBottlerocketには該当するespintcpモジュールを提供せず、このCVEの影響はないと説明しています。他の問題まで安全という保証には広げません。AWSの現状

新しいパッケージをディスクへ入れた状態と、修正済みカーネルが実際に動いている状態は分けます。担当者が環境に合う再起動やライブパッチなどの方式を選び、どの修正が有効かを示す必要があります。本稿を読んで利用者が任意に本番サーバーを再起動する必要はありません。