PHP 脆弱性/続く停止と利用制限

PHP（ピーエイチピー）の脆弱性対応は、10月23日午前も業務用サービスの停止や利用制限に影響しています。修正版は公開済みですが、これから停止を予定する環境もあり、必要な処理をいつ使えるかは各社の案内で確かめる段階です。

23日も続く業務への影響

TKC（ティーケーシー）の22日付告知では、会計事務所、その関与先企業、地方公共団体向けの一部サービスを21日23時から一時休止するとしています。再開見込みは改めて案内すると記載され、金融機関向けのモニタリング情報サービスは利用できるとしています。

同じ会社のサービスでも、すべてが止まったという案内ではありません。取引先がTKC製品を使っているという情報だけで、自分の必要な機能も停止中だと決めず、対象サービス名を照合する必要があります。

再開後も残る利用制限

人材管理サービスのSTAFF EXPRESS NEO（スタッフエクスプレス・ネオ）は、22日17時更新の公式案内で、23日16〜18時の再開を予定しています。安全性と正常な動作を確認したうえで再開するという条件付きで、23日午前の時点で「再開済み」とは扱えません。

さらに、再開後もNEO（ネオ）管理者メニューとオンライン応募者登録は利用を制限する予定です。一方、STAFF EXPRESS（スタッフエクスプレス）本体とPARTNER（パートナー）＋は引き続き利用でき、PARTNER＋には修正を適用済みと案内されています。

これから停止する環境も

キヤノンのCanonet（キャノネット）／HOME（ホーム）の案内は、PHPを使うCanonet／HOME type-W（タイプ・ダブリュー）のテナントを対象に、23日12時から緊急メンテナンスを予定しています。再開時期は決まり次第案内する方針で、データベース管理用のphpMyAdmin（ピーエイチピーマイアドミン）サーバーは停止しているとしています。

ここでは「まだ開ける」と「これからも停止しない」が同じではありません。対象契約のサイトを使う担当者は、正午以降に必要な更新や問い合わせ受付をどう扱うか、公式案内と保守担当者の連絡で確認してください。対象外の環境まで一律に停止すると解釈しないことも必要です。

停止と攻撃被害は別

TKCは、修正プログラムの適用などのためのメンテナンスであり、脆弱性を利用した攻撃は現時点で確認されていないと明記しています。サイトが使えないことだけを根拠に「情報が盗まれた」と断定できません。

復旧した例もあります。JOGMEC（ジョグメック、エネルギー・金属鉱物資源機構）は、22日13時20分から公式サイト等を再開したと発表しました。対策と安全性確認が済んだためという説明です。

PHP公式が公開した修正版は8.2.35、8.3.36、8.4.27、8.5.12です。修正の配布、サーバーへの適用、各機能の確認にはそれぞれ作業があるため、公開のニュースだけで個別サービスの復旧まで判断できません。

今日使う機能の確認先

利用者が確認するのは、公式の最新告知、使う機能の制限、実際の受付結果です。申請や応募で期限があるときは、画面が開くかだけでなく、受付番号や完了通知まで確認し、完了しなければ公式に案内された窓口へ相談します。

サイト運営者は、サーバー会社や保守担当者へ今回の2件の修正適用を確認します。WordPress（ワードプレス）だけを更新して終わりにはせず、PHP本体の対応と、問い合わせ・予約などの動作確認を分けて進めるのが今回の確認点です。