Scribble at 2026-11-06 19:46:00 Last modified: unmodified

先月の話題であった PHP の脆弱性に多くの事業者が対応した一件は、既に「PHP 問題」などと雑な言い方で FUD が広まっているようだ。情報セキュリティの実務家として言わせてもらえば、ミドルウェアの脆弱性なんて毎月のように発表されているし、他の言語でも致命的な脆弱性はある。つまるところ PHP が７割のウェブ・サーバにインストールされているから大きな話題となったわけであり、寧ろどうして今回の一件だけが過剰に騒がれたのかと言えば、それまでに多くのサイトで情報漏洩事件が頻発していたからだと思う。

少し調べてみると、まず PHP では CVE-2012-1823, CVE-2024-4577 のようにリモート・コードが実行可能となる重大な脆弱性が見つかっていて、既に対処しているサーバが大半であろう。でも、2012年は古すぎて PHP のシェアが大きくないから除外するとしても、2024年に発見された脆弱性で世界中のメディアが大騒ぎした記憶などない。また、他の言語についても Java の CVE-2021-44228（log2shell）や Python の CVE-2007-4559、それから C/C++ でも CVE-2014-0160 などが見つかっているけれど、これらも新聞やテレビで話題になったとは思えない。

なお、PHP を実際に更新したウェブ・サーバは、報道されているよりも多いはずである。なぜなら、いまや多くのディストリビューションでは、ウェブサイトの運用に使っていようといまいとミドルウェアが最初から入っていたりするからだ。レンタル・サーバなどは当然だが、任意でウェブ・サーバを構築している VPS やクラウドのインスタンスですら、ISO イメージに最初から処理系が入っていることは多い（Python に至っては、実は Linux で使うコマンドの多くが依存しているので、逆にアンインストールするとコマンドの一部が使えなくなったりする）。そういうわけで、ウェブ・サーバというだけで PHP が入っていた場合にも対応はしていたであろう（もちろん、php-fpm が起動していなければ攻撃しようがないわけだが、入っているだけでスキャナに一律に指摘されて、クライアントにいちいち対応が不要だと説明するよりもアップデートして報告書を書いた方が実績になるのだろう）。