台湾デジタル発展部の資通安全署は１０月２２日、ウェブサイトの構築などに広く使用されるプログラミング言語ＰＨＰについて、重大な脆弱性２件を修正する緊急セキュリティー更新が公開されたと発表した。攻撃者が利用者認証を受けずに外部から任意のプログラムを実行できる恐れがあるとして、政府機関、学校、企業に早急な更新を呼び掛けている。
深刻度はいずれも９．２
台湾の資通安全署によると、ＰＨＰの開発・セキュリティーチームは１０月２１日午後１０時（台湾時間）、重大な脆弱性２件に対応する緊急更新を公開した。
対象となる脆弱性の識別番号は「ＣＶＥ－２０２６－１０９６１８」と「ＣＶＥ－２０２６－１０９６１９」。
深刻度を示すＣＶＳＳバージョン４．０の評価は、いずれも１０点満点中９．２点だった。
当局は、脆弱性が悪用された場合、攻撃者が認証を受けずに外部から任意のプログラムを実行できる恐れがあると説明した。
WordPressなどにも関係
ＰＨＰはウェブサイトや各種業務システムで広く利用されている。
資通安全署は、WordPress、Drupal、Joomla、Magentoなどのコンテンツ管理システム（ＣＭＳ）でもＰＨＰが使用されていると指摘した。
これらのＣＭＳを利用している場合、管理画面から見えるプラグインやテーマだけでなく、サーバー側で使用されているＰＨＰのバージョンも確認する必要がある。
ただし、ＣＭＳを利用しているすべてのウェブサイトが今回の脆弱性の影響を受けると確認されたわけではない。影響の有無は使用しているＰＨＰのバージョンや構成によって異なる。
台湾政府が関係機関へ警報
資通安全署は、情報セキュリティー警報、国家資安情報共有・分析センター、台湾コンピューター緊急対応チームなどを通じ、関係機関や企業に情報を提供した。
各組織に対し、使用中のＰＨＰのバージョンを調べ、開発元の案内に従って更新するよう求めている。
更新後もシステムのログや不審なアクセス履歴を確認し、異常があった場合には関係するアカウントや認証情報の安全性を調べるよう呼び掛けた。
今回の発表は重大な脆弱性への警告であり、台湾国内でこれらの脆弱性を悪用した攻撃が確認されたことを示すものではない。
