IPA、PHP点検にVPN・セキュリティ機器も、製品内の修正をどう確かめるか

ブラウザで機器のアドレスを開くと、状態や設定の画面が出ます。その裏では、要求を読み取って結果を作るプログラムが動いています。PHPはその仕事を担うプログラムの一つです。製品を「VPN」「セキュリティ機器」と呼んでいても、中には別のWeb処理プログラムが含まれる場合があります。

以下はPHPを含む機器を仮定した構成図です。特定製品の内部構造や確認済みの侵入経路を描いたものではありません。

%% PHPを含む機器の構成例・IPAの点検範囲を説明した図
flowchart TD
  A["利用者のブラウザ<br/>機器の画面へ要求"] --> B["機器のWeb処理<br/>PHPを含む場合"]
  B --> C["機器の状態表示・設定機能"]

PHP開発チームは、脆弱なPHPでWebリクエストを処理する環境を危険の対象として案内しています。メモリは処理中のデータを一時的に置く作業場所です。一方の欠陥はメモリ不足後の片付けで不完全な要求データを誤って扱い、もう一方は終了した要求のメモリを指す情報が残り、次の要求で使われる問題です。攻撃条件がそろうと、こうしたメモリ処理の誤りが、通常の画面機能を越えてPHPの権限でコードを実行する被害につながる可能性があります。PHP開発チームの発表

製品ごとの判断には、脆弱なPHPを含むか、要求が該当処理に届くか、修正が入っているかという情報が必要です。管理画面を直接インターネットに公開していなくても、アクセスできる範囲と提供元の推奨対応は別に調べる項目です。

両欠陥の最初の公式修正版は8.2.35・8.3.36・8.4.27・8.5.12です。製品開発元は、PHPの修正を機器のファームウェアに組み込んで届けることがあります。ファームウェアは機器を動かすソフトウェアのまとまりで、PHPのファイルだけを自分で置き換える作業とは導入・検証の手順が違います。メモリ不足の欠陥情報・残った状態情報の欠陥情報

PHPの発表は、一部の配布元や長期サポート提供元によるバックポートも案内しています。既存のバージョン系列に必要な修正を取り込む方法です。PHPの表示番号が古く見える場合は、製品のビルド番号・修正履歴と両CVEに関する提供元の回答を合わせて見ます。

%% 修正が機器に届く段階・PHPとIPAの提供元確認の推奨を基に作成
flowchart TD
  A["PHP開発チーム<br/>元の修正を公開"] --> B["製品開発元<br/>型番に合う対策を提供"]
  B --> C["機器の担当者<br/>公式手順で適用"]
  C --> D["導入・稼働状態を再確認<br/>ビルドと適用時刻を記録"]

以下は架空の問い合わせ例です。「機器Aの型番と現在のビルドについて、両CVEの影響、推奨更新・暫定対策、適用後の確認方法を教えてください」と聞けば、回答を一つの製品につなげられます。「すべて最新です」だけでは、調査した機器や判断日が分かりません。

更新が難しい場合は、影響とサービス停止の負担を合わせて検討し、提供元が示す緩和策やアクセス制限を判断します。IPAは人員・予算・継続的な保守体制まで考えるよう勧めています。警告表示が消えたという理由だけで既存の保護を外したり、製品内のPHPを独自に交換したりする段階へ飛ばないでください。

前のPHPとLinuxの組み合わせの解説は、Web処理後のサーバー権限を扱いました。今回の点検はその手前で、組織のどの製品にPHPが含まれるかを探す作業です。