科学技術情報通信部は、広く利用されているプログラミング言語「PHP」の脆弱性への対応として、サイバー危機警報を「注意」に引き上げた。PHPでWebサイトを運営する企業・機関に対し、セキュリティアップデートの適用を急ぐよう求めている。

業界によると、PHP開発チームは21日、認証なしにサーバ上でコマンドを実行できる2件の脆弱性「PHP2Shell」を確認し、修正版を公開した。

PHPはWordPressやDrupalなどのWebコンテンツ管理システムをはじめ、各種Webサイトやオンラインモールなど幅広いサービスで使われている。今回の脆弱性は、サイバーセキュリティ企業CalypheがOpenAIの「GPT-5.6 Sol」を活用して発見したとされる。認証を経ずにサーバ上でコマンドを実行できるため、危険度は高い。

科学技術情報通信部と韓国インターネット振興院（KISA）は、CISOを届け出ている企業約2万8000社、主要情報通信基盤施設111カ所、情報保護管理体制（ISMS）認証企業1068社、サイバー脅威情報共有体制（C-TAS）参加企業約5900社に対し、関連内容を緊急周知した。

科学技術情報通信部は、PHPを8.5.12、8.4.27、8.3.36、8.2.35以降へ速やかに更新するよう勧告した。対策を反映させるため、更新後はWebサービスの再起動も必要だとしている。特に、公式のセキュリティサポートが終了したPHP 8.1以下を利用している場合は、サポート対象の上位バージョンへの移行を求めた。

更新を終えたサーバでも、異常な接続記録やWebシェルの設置有無など、侵害の痕跡を確認する必要があるという。Webホスティング事業者を利用する小規模事業者には、利用先の事業者にセキュリティアップデートの適用状況を確認するよう促している。

サイバー危機警報は「関心」「注意」「警戒」「深刻」の4段階に分かれる。科学技術情報通信部は今回の「注意」発令に伴い、侵害対応要員を増員し、緊急出動班を常時待機させるなど緊急対応体制に入る。あわせて、セキュリティ業界と連携し、攻撃動向の監視も強化する。

ペ・ギョンフン副首相兼科学技術情報通信部長官は、「今回のPHP脆弱性は国内の多数のWebサイトに影響する可能性があり、攻撃コードもすでに公開されているため、極めて迅速な対応が必要だ」と述べた。その上で、「各省庁と連携し、中小企業向けのセキュリティ点検や必要な措置の要請を協議していく」とした。