IPAは2026年10月21日、PHPの脆弱性への事前準備の呼びかけで、PHPはウェブアプリケーションだけでなく、ソフトウェア製品やネットワーク機器などの内部でも使われている場合があり、その利用状況は利用者側では把握できない場合があると書きました。すべての製品について内部のPHPの有無を個別に確認することを求めるものではない、とも添えています。確かめたくても確かめられない場所は、どの企業にもあります。
この記事の要点
- PHPは機器の管理画面や製品の内部、委託先のサーバーでも動いており、利用者の側では更新できないことがある
- 確かめられない場所は、開発元の告知を待つ間の扱いと、委託先への質問の型を先に決めておく
- 機器の管理画面をインターネットから見えなくしておくと、待つ間の危険を小さくできる
自社の台帳に載らないPHP
PHPと聞くとWebサイトを思い浮かべますが、自社のサーバー台帳の外にも、PHPが動いている場所はあります。
- 機器の管理画面: ネットワーク機器やアプライアンスの、ブラウザで開く設定画面
- 製品に組み込まれたWebサーバー: 業務パッケージや監視製品などに同梱されたもの
- 委託先やレンタルサーバー上のサイト: 制作会社や運用会社に任せているWebサイト
- SaaS: 提供事業者の側で動いている部分
PHPの開発チームによると、Linuxディストリビューションや長期サポートを提供するベンダーには、事前にパッチが渡されていました。一方、機器や製品に組み込まれたPHPは、その製品の開発元が修正版を出すまで、利用者の側では更新できません。
開発元の告知を待つ間にできること
IPAは、まず製品のマニュアルや、開発元・提供元が公開するセキュリティ情報を確認し、PHPの利用が分かっている製品については、影響や対策が公表されたら速やかに対応できるよう準備するよう求めています。PHPの利用状況が分からない製品についても、引き続き開発元・提供元からの情報を確認するよう書いています。待つ間に自社の側でできることは、主に次の3つです。
- 管理画面への経路を絞る: 機器の管理画面が、インターネットから直接届く状態になっていないかを確かめる
- 告知を受け取る担当を決める: どの製品の告知を誰が見張るかを決める
- 委託先への質問のひな形を用意する: 「PHPを使っているか」「バージョンは何か」「修正の予定日はいつか」「それまでの緩和策は何か」
委託先への質問は、事件の当日に一から書くと時間がかかります。質問の型を先に用意しておけば、各社の回答も並べて比べやすくなります。
経営ガイドラインが言う「サプライチェーン全体への目配り」
経済産業省とIPAの「サイバーセキュリティ経営ガイドライン Ver3.0」は、経営者が認識すべき3原則の2つ目に、自社だけでなく国内外の拠点、ビジネスパートナーや委託先等、サプライチェーン全体にわたる対策への目配りを挙げています。そのサプライチェーンには、在来の部品調達にとどまらず、クラウドサービスの利用や、情報を扱う機器の保守など、デジタル環境を介した外部とのつながりの全てが含まれるとしています。
機器の中で動くPHPや、委託先のサーバーで動くPHPは、この「目配り」の範囲そのものです。自社で直せない場所だからこそ、誰に聞き、何を待ち、待つ間にどう守るかを決めておくことになります。
管理画面をインターネットに出さないという選択
機器の管理画面がインターネットから見えなければ、内部の部品に脆弱性が見つかっても、外から直接狙われる危険は小さくなります。遠隔から管理する必要があるために公開している、という場合は、公開せずに社内へ届く経路を用意する方法があります。
当社のForceLinkは、自社で設計・開発したセキュアリモートアクセスです。オフィスにForceLink BOXを置き、社員に招待コードを配って、自宅や外出先から社内へつなぎます。ForceLink自身の管理画面もインターネットに公開せず、接続は鍵ベースです。接続できる社内PC・サーバー・NASは、ユーザーごとにForceLink BOX側で制御します。大規模なSASE製品のすべての機能は持たない、拠点や中小規模のオフィス向けの製品です。
次の脆弱性までに確かめておくこと
- 告知の受け取り先を一覧にする: 使っている機器・製品ごとに、開発元のセキュリティ情報の掲載場所と、見張る担当を決める
- 管理画面の公開状況を確かめる: インターネットから管理画面に届く機器がないかを点検する
- 委託先への質問の型を作る: 利用の有無、バージョン、修正予定、緩和策を同じ形式で聞けるようにしておく
参考資料
管理画面を公開しないリモート接続を検討する
機器や社内サーバーの管理画面をインターネットに出さずに、拠点や自宅から社内へつなぐ方法をご相談ください。
製品の詳細はForceLinkのサイトでご覧いただけます。
まずは相談する相談無料・