なんとも慌ただしい1週間でした。大きな問題が相次ぐ週もありますが、今週はまさにそうでした。2件の重大なPHP脆弱性の詳細が修正版の公開前に漏洩し、同じ日にMozillaは、eMudhra認証局の8つの鍵は復元できるほど強度が低かったことを公表しました。一方は、攻撃に先んじてパッチを適用する時間との勝負です。もう一方は、解消に数カ月を要する信頼性に関わる問題です。
脅威リサーチチームは、「パッチ公開前に情報が流出した2件の重大なPHP脆弱性：組織が今すぐ取るべき対応」と「eMudhraのCA秘密鍵8件が侵害：何が起き、組織は今何をすべきか」を公開し、それぞれの問題について技術的な対策を示しました。本記事は、CEO、取締役会、監査委員会への説明を担う方に向けたものです。
PHP：影響範囲を特定し、防御したうえで修正する
- リスク： CVE-2026-109618とCVE-2026-109619は、CVSS v4.0で9.2と評価されており、攻撃者が認証なしでコードを実行できる可能性があります。Miraiもこれらの脆弱性のスキャンを開始しており、影響を受ける可能性のある環境は2,260万件に上ると報告されています。
- 修正策： PHPは10月21日、バージョン8.2.35、8.3.36、8.4.27、8.5.12でパッチを公開しました。脆弱性の悪用に成功した事例は、現時点で第三者によって確認されていません。
- まだパッチが適用されていない理由： 本番環境の変更には、開発、IT、運用部門との調整に加え、テスト、計画停止、業務リスクの評価が必要です。しかし、攻撃者は待ってくれません。だからこそ、仮想パッチが重要になります。
3段階の対応手順
- 1. 影響範囲を特定する。 TrendAI Vision One Cyber Risk Exposure Management（CREM）を使用し、露出している資産を重要度に応じて順位付けします。コンテナ、アプライアンス、ホスティングされたサイトを含め、すべてのPHP実行環境を洗い出し、サポートが終了したバージョンを特定してください。PHPから起動されたシェル、Base64でエンコードされたWebシェル、想定外のwget実行や認証情報ファイルへのアクセスも調査します。簡易確認にはPHP2Shell Exposure Checkerを利用できます。ただし、バックポートが適用されているとバージョン番号だけでは修正状況を判断できない場合があるため、実行環境の管理責任者にも結果を確認してください。
- 2. 直ちに仮想パッチを適用する。 Vision One TippingPointとEndpoint Securityを使用すれば、本番環境の変更を待たずに対象システムを保護できます。さらに、Vision One Network Detection and Responseで脆弱性を悪用する試みを検知します。こうした保護機能がない場合は、公開アクセスを制限し、管理インターフェースをVPNの内側に配置するか、WAFルールを有効にしてください。これらは恒久的な修正ではなく、時間を稼ぐための措置です。
- 3. 優先順位を付けて修正する。 まずインターネットに公開されているシステムとmod_phpを使用するシステムにパッチを適用し、残りはリスクの高いものから順に対応します。修正を確実に反映させるため、サービスを再起動するか、コンテナを再デプロイしてください。アップストリームのサポートが終了しているPHP 8.1以前については、ベンダによるバックポート、隔離、または移行で対応します。経営層には、影響範囲、パッチ適用時期、移行計画を説明してください。
eMudhra：ブラウザの対応は完了、その他の環境には課題が残る
- ブラウザは対応済みです。 Chrome、Firefox、Apple、Microsoftは侵害された中間CA証明書をブロックし、eMudhraも10月18日にこれらを失効させました。
- その他の多くは未対応です。 Linuxサーバ、コンテナ、言語ランタイム、組み込みデバイスでは、証明書の失効が確認されない場合が少なくありません。また、各中間CA証明書にはSectigoによるクロス署名版も存在します。そのため、eMudhraのルート証明書を削除するだけでは、信頼経路が残ります。
対応：
- デスクトップ以外のトラストストアも更新する。
- Goアプリケーションとコンテナイメージを再ビルドする。
- TLSインスペクションゲートウェイで16件すべての証明書をブロックする。
注意：コード署名も確認してください。 8つの鍵のうち2つは、コード署名証明書を発行できました。eMudhraは、これらの認証局が本番環境で使われたことはないとしていますが、証明書チェーンがこれらのCAにつながるバイナリはすべて調査してください。
取締役会から問われること
- 影響を受ける可能性はあるのか。 侵害された場合の損失を基準に、影響範囲を高・中・低の3段階に分類します。それぞれについて、実施中の対応と完了までの所要時間を示してください。たとえば、顧客データや決済情報を扱うインターネット公開システムを高リスクに分類し、48時間以内にパッチを適用するといった基準が考えられます。
- すでに侵害されていないか。 「高リスクシステムの90%を調査し、侵害の兆候は見つかっていません」のように、判断の確度を示します。未確認の部分については、確認が終わっていない理由、完了予定、完了までの保護策を説明してください。
- 対応はいつ完了するのか。 自社で管理できる対応と、外部の対応待ちになっているものを分けて示します。パッチ適用の期日と、サプライチェーンに関する対応方針を提示してください。
- 修正できないものは何か。 対象の割合と、必要な意思決定を具体的に示します。たとえば、「高リスクシステムの5%には修正策がありません。仮想パッチの適用と隔離は完了しており、四半期末までに代替方針の決定が必要です」と説明します。
- なぜ事前に把握できなかったのか。 重要なのは、影響範囲を把握し、リスクを解消するまでの速さです。
TrendAI™による支援
TrendAIをご利用のお客さまは、担当者にお問い合わせください。それ以外の方は、お問い合わせページをご確認ください。
防御策によって時間を稼ぐことはできますが、リスクを解消するにはパッチの適用と検証が必要です。検知範囲が十分だと決めつけず、実際に確認してください。また、経営層が第三者から知らされる前に、自ら説明することが重要です。
CISOの皆さん、休めるときには睡眠を取り、チームのケアも忘れないでください。来週には、また新たな想定外の事態が待っているでしょう。
参考記事：
By: Sundari Parekh
翻訳：与那城 務（Platform Marketing, TrendAI™ Research）