PHP使用サイトの80％がサポート切れPHPの可能性

拡大写真

独立行政法人情報処理推進機構（IPA）は4月25日、IPAテクニカルウォッチ「サーバソフトウェアが最新版に更新されにくい現状および対策」を作成、公開した。本レポートは、IPAが脆弱性の届出を受けたWebサイトそれぞれで使用されているWebサーバ関連ソフトウェアのバージョン確認を実施し、その結果を踏まえ、Webサイト運営組織および管理者向けにまとめたもの。

レポートでは、サーバソフトウェアのバージョン調査を行っており、これによるとApache およびIIS についてはサポート範囲内が多い（85％以上）一方で、PHPについてはサポート範囲内が著しく少なく、実に80％がサポート終了後であることがわかった。しかし、PHPのみをバージョンアップした場合、稼動していたWebアプリケーションが動かなくなることもあり、その場合はWebアプリケーションを改修する必要がある。

改修するためには、Webアプリケーション開発時点のノウハウが残っていなくてはならない。しかし、開発時点での資料整備等が不十分であったり、開発を担当した会社との契約が切れていたり、担当者の退職などの理由でノウハウが失われているケースでは、ほとんど作り直しになる場合もある。現実には作り直す余裕があるWebサイトは少なく、危険性を認識したとしても使い続けている可能性があるとしている。レポートでは組織的なWebサイト管理のあり方やケーススタディについても触れている。

PHP使用サイトの80％がサポート切れPHPの可能性（IPA）

《吉澤亨史@ScanNetSecurity》

• 脆弱性の届け出を開発者自身が行うケースが増加--IPA四半期レポート（IPA）
• サポートが終了したMicrosoft製品の脆弱性は28％--JVN登録状況（IPA）
• 「Apache Struts」の危険度の高い脆弱性の攻撃コードを確認、至急対策を（IPA）