本文へ移動
LIFEMAKERS.COM — 自立型ライフの実践知カタログ
ベータ版
LifeMakers
Signal観測テクノロジーと道具FUTURE LIFE BRIEF

コドモンや BASE が予防停止、PHP 重大脆弱性の予告日に

コドモンが保護者アプリを含む全サービスを予防停止し、BASE も緊急メンテナンスを前倒しした。同じ日に PHP が重大な脆弱性2件の修正を予告。分かっていることと、止まった日の段取り、自分のサイトの確かめ方を整理した。

5分LifeMakers 編集デスク
コドモンや BASE が予防停止、PHP 重大脆弱性の予告日にのイメージ

この記事でわかること

  • コドモンは保護者アプリを含む全サービスを予防停止し、22日早朝の再開を見込む。BASE も緊急メンテナンスを15時50分に前倒しした
  • PHP は CVSS 9.2 の脆弱性2件の修正版を日本時間21日23時に公開予定。2社の告知は PHP を名指ししていない
  • 自分のサイトを持つ人は、PHP を使っているかを棚卸しし、サーバー会社のお知らせを確かめておく

保育・教育施設向けの連絡サービス「コドモン」は10月21日、保護者アプリを含む全サービスを予防のために止めた。同じ日、ネットショップ作成サービスの BASE も緊急メンテナンスの開始を15時50分に前倒しした。両社とも、利用しているソフトウェアに重大な脆弱性が確認されたためと説明し、不正アクセスや情報漏えいは確認されていないとしている。

園への欠席連絡や、ネットショップでの注文に毎日使っている道具が、まとめて止まる。家の外にあるサーバーの事情が、朝の段取りにまで届いた一日だった。

2社が出した説明

コドモンの第1報によると、脆弱性が「すでに攻撃対象になりかねない状況」を踏まえ、全サービスを順次停止した。保護者アプリを含むサイトはすべて即時停止の予定で、保護者への個別の案内はできないとしている。同日の続報では、10月22日 (木) の早朝に再開する見込みを示し、再開時刻が決まれば同社のプレスルームと公式 X で知らせるという。

BASE は公式 X で、予防的な措置としてメンテナンスの開始時刻を変えたと告知した。どちらの告知も、脆弱性のあるソフトウェアの名前は書いていない。

PHP の修正予告と、まだ分からないこと

同じ時期、ウェブサイトの裏側で広く使われているプログラミング言語 PHP の開発チームが、深刻度の高い脆弱性2件の修正版を公開すると予告していた。評価はどちらも CVSS v4.0 で 9.2、公開は日本時間の21日23時の予定だ。詳細が先に漏れたり、実際の悪用が見つかったりすれば前倒しするとも書いている。影響するバージョンや修正版の番号は、公開と同時に示すとしている。

情報処理推進機構 (IPA) も21日、事前準備を求める注意喚起を出した。IPA はこの時点で、これらの脆弱性を悪用した攻撃を確認していない。影響を受けるバージョンも未確認とし、欧州連合の CERT-EU が「PHP 5 以降が影響を受ける」としている内容を紹介するにとどめている。

報道では、ゲームやレンタルサーバーなど、ほかのサービスも相次いで緊急メンテナンスに入り、PHP の脆弱性が影響したとみられると伝えられている。ただ、コドモンと BASE の告知が PHP を名指ししていない以上、2社の停止を PHP と結びつけるのは、いまのところ推測の段階だ。

止まった日の段取りと、自分のサイトの確かめ方

保護者の側でできるのは、アプリが使えない時間の連絡手段を一つ持っておくことだ。コドモンは保護者に個別の案内ができないとしているので、欠席や遅刻の連絡は園の電話番号など、アプリの外の手段になる。再開の知らせはプレスルームと公式 X に出る。

BASE で買い物をする側も、メンテナンスの間はいつもどおりには使えない。ショップを開いている側は、止まる時間をお客にどう伝えるかが手間になる。

自分でブログや店のサイトを持っている人は、もう一歩ある。IPA は、PHP を使っているシステムを可能な範囲で棚卸しし、修正版が出たらすぐ当てられるよう準備することを求めている。レンタルサーバーの上で WordPress などを動かしている場合、PHP の更新はまずサーバー会社の側の仕事になることが多い。契約しているサーバー会社のお知らせを確かめ、管理画面で選べる PHP のバージョンが古いまま放置されていないかを見ておきたい。サポートが終わった古い PHP を使い続けるサイトが見られると、IPA は書いている。

ただし、修正版の中身はまだ公開されていない。いま慌てて設定を変えるより、何を使っているかを把握しておくほうが先になる。

次の確認先は二つある。一つは日本時間21日23時の予定で公開される PHP 公式サイトのニュース欄で、ここで影響するバージョンと修正版の番号が分かる。もう一つはコドモンのプレスルームで、22日早朝の再開時刻が出る。

ことば

  • PHP — ウェブページを組み立てるサーバー側で動くプログラミング言語。WordPress をはじめ多くのサイトの裏側で使われているため、脆弱性が見つかると影響の範囲が広くなりやすい。
  • CVSS — 脆弱性の深刻さを0から10の数値で表す国際的な評価の物差し。9.0 以上は最も重い「緊急 (Critical)」に分類され、今回の 9.2 はその帯に入る。
  • 予防停止 — 被害を確認する前に、攻撃を受けうる状態そのものを避けるためにサービスを止めること。止めている間の不便と引き換えに、修正が済むまでの危険を減らす。

毎日使う連絡アプリや店が止まったとき、あなたの暮らしには代わりの手段がいくつ残っているだろうか？

参照

あなたの暮らしで、最初に試せることは何でしょうか。