ロリポップ PHP パッチ/サイト停止と確認

ロリポップ！は10月22日13時ごろ、PHP（ピーエイチピー）の脆弱性を直す修正（パッチ）を当て終え、止めていた契約者のサイトの表示を再開しました。ただしこのパッチに合わせて、すべてのPHPで「session.upload_progress（セッションアップロードプログレス）」という機能が無効になっており、ロリポップは契約者に、お問い合わせフォームやファイルのアップロードが正しく動くか確かめるよう求めています。

一部のサーバーでは、22日3時9分ごろから13時ごろまでのおよそ10時間、サイトが見られませんでした。

サイトが止まった時間と理由

ロリポップの報告によると、今回の脆弱性は認証なしで外からプログラムを動かされ、サイトの改ざんやデータの持ち出しにつながるおそれがありました。公式の修正版が出たのはPHP 8.2以降だけで、古いバージョンは自社で修正を用意し、検証してから当てる必要がありました。その間に、脆弱性を狙ったとみられるアクセスも確認していたといいます。

設定による緩和策だけでは攻撃を防ぎきれない可能性があったため、修正が終わるまでサイトを止める判断をしたとしています。一つずつ切り分けるより、すべてのサイトを早く守るほうを優先してサーバー単位で止めたため、PHP 8.2以降を使うサイトや、PHPを使っていないサイトも表示できなくなりました。狙ったとみられるアクセスによる不正アクセスや情報漏えいは、現時点で確認されていないとしています。

バージョン別のパッチの中身

パッチの当て方は、PHPのバージョンで3通りに分かれます。8.2、8.3、8.4、8.5は、開発元が出した修正版の8.2.35、8.3.36、8.4.27、8.5.12です。7.4、8.0、8.1には、開発元がサポート終了版向けに出した修正コードを当てました。

5.3から7.3までは公式の修正がないため、ロリポップが公式の修正内容をもとに自分で作り、検証してから当てています。

ロリポップは、8.1以下への今回の対策は「応急的なもの」だとしています。開発元のサポートがすでに終わっているため、今後見つかる脆弱性には公式の修正が出ない、またはロリポップでも対応できない可能性があるといいます。

無効になった機能と確かめ方

session.upload_progressは、PHPの公式マニュアルによると、アップロード中のファイルの進み具合をPHPで追えるようにする設定です。CPI（シーピーアイ）も、修正を当てられないPHPへの緩和策の一つに、この設定を切ることを挙げています。

マニュアルの説明では、この情報はファイルの送信そのものにはあまり役立たず、送信中に別の通信で進み具合を確かめたり、送信を途中で取り消したりするのに使います。この機能で進み具合（プログレスバー）を出したり、送信を取り消したりしている画面は、無効になった影響をそのまま受けます。

ロリポップが確認を求めているのは、サイトの表示、お問い合わせフォーム、ファイルのアップロードなどが正しく動くかどうかです。画像を付けて送るフォームや、会員がファイルを上げるページがあるなら、実際に1件送ってみると確かめられます。

PHPの切り替えと注意点

ロリポップは、開発元のサポートが続くPHP 8.2以降への切り替えを求めています。ユーザー専用ページの［サーバーの管理・設定］→［PHP設定］から、ドメインごとに変えられます（手順はロリポップのマニュアル）。切り替えたあとにエラーが出るなら、プログラムやアプリの更新が必要です。

ただし、PHP公式による8.2のサポートは2026年12月31日までです。8.3なら2027年12月31日、8.4なら2028年12月31日まで続きます。8.2に上げても、年末（あと約2か月）でまたサポート切れになります。

ロリポップは、WordPress（ワードプレス）を使っている契約者に、本体だけでなくプラグインとテーマも最新か、長く更新が止まっていないかを確かめるよう案内しています。更新が止まったプラグインやテーマは、新しい脆弱性の原因になることがあるためです。

問い合わせの返信は遅れ気味

23日には、問い合わせが通常を大幅に上回り、返信に時間がかかっているとのお知らせも出ました。状況が改善したら改めて知らせるとしています。

返信が混んでいるいまは、図の3つ（サイトの動き・PHPのバージョン・プラグインとテーマ）を先に自分で確かめておけます。