PHPの脆弱性2件、修正版は日本時間21日23時に公開予定

PHPのセキュリティチームは日本時間10月21日早朝、公式のお知らせ用メーリングリストで、セキュリティ修正版を協定世界時（UTC）の21日14時、日本時間では21日23時に公開すると予告した。修正されるのは重大な脆弱性2件で、脆弱性の深刻度を表す共通指標「CVSS v4.0」の値はどちらも10点満点中9.2。評価の区分で最も重い「Critical」にあたる。

脆弱性の中身や影響を受けるバージョン、修正版の番号は、予告の段階では明かされていない。PHP公式サイトのお知らせでは、これらを修正版の公開にあわせて発表するとしている。

予定が早まる可能性もある。PHP公式は、どちらかの脆弱性の詳細が公になった場合や、実際に悪用されている兆候が見つかった場合には、予定より前に公開することがあると説明した。そのうえで、利用者には今のうちに準備を進め、修正版が出たらすぐに適用できるようにしておくよう呼びかけている。

ネット上では脆弱性の識別番号やより高い深刻度の数値を挙げる情報も出回るが、PHP公式はこれらを発表していない。公式の発表を待って判断するのが確実だ。

自分のサイトは対象？ PHPのサポート中バージョンは8.2〜8.5

今回の修正がどのバージョンに配られるかは、23時の公開を待つ必要がある。一方で、PHP公式が現在「サポート中」としているバージョンは決まっており、手がかりになる。

PHPは各バージョンに2年の通常サポートと、その後2年のセキュリティ修正のみの期間を設けている。PHP公式によると、10月21日時点でサポート中なのは次の4つだ。

バージョン	現在の状態	セキュリティ修正の期限
PHP 8.5	通常サポート中	2029年12月31日
PHP 8.4	通常サポート中	2028年12月31日
PHP 8.3	セキュリティ修正のみ	2027年12月31日
PHP 8.2	セキュリティ修正のみ	2026年12月31日
PHP 8.1以前	サポート終了	8.1は2025年12月31日に終了

PHP 8.1は2025年末でサポートを終え、8.0や7.4はそれより前に終了している。PHP公式は、サポートが終わったバージョンには修正されない脆弱性が残る恐れがあるとして、サポート中のバージョンへの移行を勧めている。

8.2は今年12月31日でセキュリティ修正の期間も終わる。今回の件にかかわらず、8.2を使っているサイトは年内に次のバージョンへ移る計画を立てておくと慌てずに済む。

PHPバージョンの確認方法　WordPressのサイトヘルスやコマンドで見る

確認の方法は、サイトの作り方や使っているサーバーによって主に3つに分かれる。自分の環境に合うものから試してほしい。

WordPressなら「サイトヘルス」の情報画面で確認

WordPressのサイトなら、管理画面だけで確かめられる。左側のメニューから「ツール」→「サイトヘルス」を開き、上部の「情報」タブに切り替える。項目の中の「サーバー」を開くと、PHPのバージョンが表示される。

サイトヘルスは、WordPress本体に最初から入っている診断機能だ。「ステータス」タブでは、PHPが古い場合に更新を促す項目が出ることもある。WordPress公式は現在、PHP 8.3以上を推奨している。

サーバーに入れるなら「php -v」コマンド

サーバーにSSHで接続できる場合は、コマンド「php -v」を打つとPHPのバージョンが表示される。

ただし、コマンドで表示されるのはコマンド操作用のPHPで、Webサイトの表示に使われているPHPと同じとは限らない。レンタルサーバーでは両者の設定が別になっていることもあるので、サイトで実際に使われているバージョンは、サイトヘルスやサーバーの管理画面でも確かめておきたい。

レンタルサーバーの管理画面でも確認できる

レンタルサーバーを使っている場合は、サーバー会社の管理画面でPHPのバージョンを確かめられることが多い。例えばエックスサーバーでは、サーバーパネルの「PHP Ver.切替」メニューを開き、対象ドメインの編集アイコンを押すと、現在のバージョンが表示される。メニューの名前や場所はサーバー会社ごとに違うので、各社のマニュアルで確かめてほしい。

修正版公開までにWordPressサイトでやっておきたい備え

修正版が出る前でも、できることはある。今日のうちに手をつけておきたいのは次の4つだ。

1. 使っているPHPのバージョンを確認し、メモしておく

2. サイト全体（ファイルとデータベース）のバックアップを取る

3. WordPress本体・テーマ・プラグインの更新をすませておく

4. 契約しているサーバー会社や、利用中のサービスのお知らせを確認する

バックアップは、更新後に不具合が出たときの戻り先になる。WordPress公式も、PHPを更新する前の最初の手順としてバックアップを挙げている。サーバー会社の自動バックアップ機能を使っている場合も、いつの時点まで戻せるかを見ておくと安心だ。

共用のレンタルサーバーやホスティングサービスでは、PHP本体の修正版をいつ反映するかはサーバー会社の対応による。利用者が自分でPHPを入れ替えられないケースもあるため、各社のお知らせやメンテナンス情報を追っておきたい。自分でサーバーを管理している人は、使っているOSやパッケージの提供元が修正版を出すタイミングも確認が必要になる。

修正版が出たら（予定は23時だが、前倒しの可能性もある）、まず対象バージョンを確かめる。自分のバージョンが含まれていれば、修正版への更新に進む。更新したあとはサイトの表示や管理画面へのログイン、問い合わせフォームなど、よく使う機能が動くかを見ておくと、不具合に早く気づける。

8.1以前を使っている場合のPHPアップデートの進め方

PHP 8.1以前は、すでに公式のサポートが終わっている。サポート中のバージョンだけを対象に修正版が出るなら、8.1以前のPHPにはPHP公式の修正版が提供されないことになる。正式な対象は公開時の発表を待つ必要があるが、古いバージョンを使い続けるほど、修正されない問題を抱えたままになる点は変わらない。

この機会に、サポート中のバージョンへの切り替えを考えたい。WordPress公式は、PHPを上げる前の手順として次の流れを案内している。

– サイトのバックアップを取る

– WordPress本体・テーマ・プラグインを最新にし、サイトが正常に動くか確かめる

– 互換性チェック用のプラグインなどで、テーマやプラグインが新しいPHPで動くかを調べる

– 問題が見つかったら、テーマやプラグインの作者に問い合わせるか、代わりのものを探す

互換性チェックのプラグインについて、WordPress公式は見落としや誤判定もありうると注意している。長く更新されていないテーマやプラグインは、新しいPHPで動かないことがある。いきなり本番サイトを切り替えず、サーバー会社が用意するテスト環境があれば先に試すと安全だ。

困ったときは、サーバー会社やテーマ・プラグインの作者、Web制作の専門家に相談するのが近道になる。修正版の公開は今夜23時の予定。対象バージョンが発表されたら、自分のサイトに当てはまるかを落ち着いて確かめたい。

[文/構成 by さとう つづり]