本脆弱性は、認証を経ずに外部から任意のプログラムを実行されるおそれのある、深刻度の高いものです。弊社では、弊社のアプリケーションおよびお預かりしているお客様のサーバ・サービスのうち、PHPが稼働しているものを対象に、以下のとおり対応いたしました。

1. 緊急暫定対応

Webサイト（ページの表示を主とするもの）

脆弱性の悪用経路となるPHPの機能（アップロード進捗機能：session.upload_progress）を無効化する暫定設定を投入しました。あわせて、配信を弊社キャッシュプロキシ経由のみに限定し、PHPが生成したページ（HTML）を表示するだけの状態に切り替えたうえで、公開を継続しました。

アプリケーション

同じ暫定設定を投入したうえで、脆弱性への対応が可能と判断できるまで、アプリケーションを一時的に閉鎖しました。業務上、継続してのご利用が必要なお客様については、一般公開しているサービスを除いてIPアドレスによるアクセス制限を設け、許可したIPアドレス以外からのアクセスをすべて遮断したうえで、ご利用を継続いただきました。

2. 恒久対応（修正版PHPの適用）

Linuxの各リポジトリで修正済みPHPの配布が始まるまで、5分おきに配布状況を確認し、各サーバのOSに対応した修正版が公開され次第、順次適用しました。10月22日午前4時までにすべてのサーバへの適用を完了し、サービスへの影響がないことを確認できたものから順に公開を再開して、午前4時20分までにすべての対応を完了しました。

3. 今後の取り組み

今回は、弊社であらかじめ用意していたキャッシュプロキシにより、ほとんどのサービスで公開を継続したまま対応することができました。一方で、複数のサービスの配信経路をまとめて切り替える機能がなかったため、DNSの切り替えに25分を要しました。今後はこうした切り替え作業を自動化し、同様の事態においても、より迅速に、サービスを止めることなく対応できる運営体制を整えてまいります。

一時閉鎖やアクセス制限によりご不便をおかけしたお客様には、深くお詫び申し上げます。本件に関するお問い合わせは、弊社担当者またはお問い合わせフォームまでご連絡ください。

株式会社ホムタホールディングス