K┊︎Web作る人

きた！簡単な翻訳ですみません🙏 ①PHPをアップデートできる場合 以下のバージョン以上に更新してください。 現在のPHP　更新するバージョン PHP 8.5系 → 8.5.12 PHP 8.4系 → 8.4.27 PHP 8.3系 → 8.3.36 PHP 8.2系 → 8.2.35 PHP 8.1以前 → サポート対象版への更新を推奨 例えば、現在の環境が PHP 8.3.35なら、8.3.36へアップデートする必要があります。 レンタルサーバーの場合は、サーバー会社が修正版を提供するまで更新できないこともあります。 ②すぐにアップデートできない場合 PHP公式が案内している暫定対策を、簡単にまとめると以下のとおりです。 ・メモリ制限の変更 PHPのメモリ上限をなくし、特定のエラーを悪用されにくくする ・アップロード容量の制限 大量のデータを送り込む攻撃のリスクを減らす ・セッション機能の一部停止 PHP内部に古い情報が残る問題を悪用されにくくする 対策A：メモリ制限を変更する memory_limit = -1 PHPのメモリ使用量に上限を設けない設定です。 今回の脆弱性の一つは、メモリ不足によるエラーが発生した際に悪用される可能性があるため、その経路を減らす目的です。 ただし、メモリを無制限に使えることで、サーバー全体のメモリ不足が起きる危険もあります。 VPSなどではコンテナやcgroupによる制限と組み合わせることが推奨されています。 対策B：送信できるデータ容量を制限する ファイルアップロードが不要なサイト： post_max_size = 8M ファイルアップロードが必要なサイト： post_max_size = 32M これは、大量のデータを送信することでメモリ不足を引き起こす攻撃のリスクを減らすためです。 ただし、WordPressで大きな画像やファイルをアップロードするサイトでは、アップロードに失敗する可能性があるため注意が必要です。 対策C：セッションのアップロード進捗機能を停止する session.upload_progress.enabled = 0 ファイルアップロードの進捗状況をPHPのセッションで管理する機能を停止します。今回確認されている攻撃経路の一部を防ぐための設定です。 変更後はPHPのワーカープロセスをすべて再起動する必要があります。 3. WordPressの制作・保守で実際にどう対応するべきか 今回のようなケースでは、次の優先順位で対応するのが現実的です。 最優先：レンタルサーバー側のPHP修正状況を確認する エックスサーバー、さくら、ConoHaなどのレンタルサーバーでは、PHPの更新やセキュリティパッチをサーバー会社側が管理する場合があります。 PHPのバージョン番号が変わっていなくても、修正パッチが適用されている可能性があるため、バージョン番号だけで判断しないことが重要です。 結論として、PHP 8.3.35などを利用している場合、まずはサーバー会社が8.3.36への更新、または同等の修正パッチを提供しているか確認してください。 今回の暫定対策は攻撃経路の一部を防ぐもので、脆弱性そのものを修正するわけではありません。 php.net/archive/2026.php