PHPは広く利用されるプログラミング言語であり、ウェブアプリケーションやウェブサイトの開発において非常に重要な役割を果たしています。

しかし、手軽さと人気があるからこそ、悪意のある攻撃者による攻撃の標的となることがあります。このため、PHPの脆弱性について常に注意を払い、最新の情報を把握し、適切な対策を講じることが不可欠です。

本記事では、「PHPの脆弱性一覧を調べる方法」に焦点を当て、PHPコミュニティやセキュリティ専門家が採用しているアプローチについて解説します。

PHPの脆弱性を一覧で確認

PHPの脆弱性に関する情報を一覧で見る場所として以下のウェブサイトやリソースを参照することができます。

情報は常に変化するため、最新の情報を確認するためには定期的にこれらのリソースをチェックすることが重要です。

• CVEデータベースでの検索
  • CVE（Common Vulnerabilities and Exposures）データベースは、セキュリティの脆弱性に関する情報が収集されている公式なリソースです。PHPの脆弱性もここで確認できます。
  • https://cve.mitre.org/cgi-bin/cvekey.cgi?keyword=PHP
• PHPチェンジログで「CVE-」の検索
  • PHPの公式ウェブサイトにはチェンジログとしてセキュリティ更新履歴が掲載されています。
  • セキュリティの脆弱性にはCVEが採番されるので、チェンジログに記載されたCVEを確認することで確認できます。
  • https://www.php.net/ChangeLog-8.php
• セキュリティスキャナーの使用
  • セキュリティスキャナーソフトウェアは、ウェブアプリケーションに潜在的な脆弱性をスキャンして報告することがあります。
  • 代表的なツールにはOWASP ZAPやNessusなどがあります。
  • PHPライブラリのチェックは composer audit
    • https://getcomposer.org/doc/03-cli.md#audit
  • WordPressアプリケーションは WPScan
    • https://wpscan.com

脆弱性についてはCVEと呼ばれる識別番号が割り当てられるため、この番号をPHPのチェンジログで確認することでどんな問題があるのか、どんな対応がされたのかがわかるようになっています。

CVEデータベースやチェンジログの検索以外にも、セキュリティスキャナーを使用することでもCVEを出力することができるので、現在のプロジェクトに存在する脆弱性一覧を把握するために使用してみてください。

パッケージ管理ツール独自の脆弱性対応も存在する

ちなみに、パッケージ管理ツールの yum を使用したPHPをインストールするとPHP公式のサポート期限が切れたバージョンが入る場合が存在しますが、バックポートと呼ばれるパッケージ管理ツール独自のセキュリティ対応も行われているので、パッケージ管理ツールで入れたPHPでは別途用意されているチェンジログを確認する事もオススメします。

参考: https://qiita.com/bezeklik/items/0823b14789d96f847d09

脆弱性との向き合い方

物理的な制作物とは違い、電子データであるアプリケーションは腐敗などが無いので未来永劫何もしないで動き続けると考えてしまうのも無理はありません。

ですが、外部の技術は発展しているため新たな攻撃手法が日々発見されていきます。そのため時間が経つと既に組み込まれていたが新たに発見された脆弱性が一覧として公開されていきます。

PHPの公式サイトで公開されているセキュリティに対する考え方は以下があります

最新版を維持する

PHP は、他の大規模なシステムと同様に、セキュリティを確保しつつ 改良されています。新バージョンにはしばしば大規模あるいは小規模な 変更が含まれています。その内容は、セキュリティの機能追加であったり セキュリティ上の問題・設定の不備・その他システム全体のセキュリティや 安定性にかかわる問題の修正であったりします。

他のシステムレベルのスクリプト言語やプログラムと同様に、最善の アプローチは、頻繁に更新し、最新のバージョンとその変更を 注視し続けることです。

https://www.php.net/manual/ja/security.current.php

常に変わり続ける外部環境に合わせてPHPプロジェクトを最新版に維持する計画を立てることが重要です。

あなたの事業で価値を出す事を最優先に、PHPプロジェクトの脆弱性によって事業価値が喪失しないように仕組みや体制を整えて定期的に最新版にアップデートする必要があります。

参考: https://yamory.io/blog/php-vulnerabilities-and-keep-secure/

終わりに

以上、PHPの脆弱性について一覧で確認するための情報源について紹介していきました。

脆弱性を常に確認し、最新版を維持する仕組み作りをすることも、ウェブアプリケーションを構築するのに重要な仕事になります。

それでは今回も、お疲れ様でした。