クマひよ工房PHP-CGIの脆弱性（CVE-2024-4577）｜Windowsで動くEC-CUBEが当てはまるかの確かめ方
2024年6月に公表されたPHPの脆弱性（CVE-2024-4577）は、Windows版のPHPをCGIという方式で動かしているサーバで、外から任意のプログラムを実行されるものです。2025年に入ってからは、日本の組織を狙った悪用が報告されています。
この記事では、EC-CUBEのサイトがこの脆弱性に当てはまるかの確かめ方と、当てはまったときの対策をまとめます。
何が起きたか
PHPをCGIで動かすと、Webサーバは届いたリクエストの一部を、PHPのプログラム（php-cgi）に引数として渡します。Windowsには、文字を似た別の文字に置き換える機能（Best-Fit）があり、日本語や中国語の環境では、ある文字がハイフン（-）に置き換わります。この置き換えを使うと、攻撃者はPHPに好きなオプションを渡し、サーバで任意のPHPのコードを実行できます。
PHPの開発元は、2024年6月に修正版の8.3.8、8.2.20、8.1.29を出しました。発見者のDEVCOREは、日本語（コードページ932）、簡体字中国語（936）、繁体字中国語（950）のWindowsで、攻撃が成り立つことを確かめています。
Cisco Talosは、2025年1月から、この脆弱性を入り口にした侵入が日本の組織を中心に続いていると報告しています。対象には、通信、教育、ECなどの業種が含まれます。
自分のサイトが当てはまるか
次の順に確かめます。1つ目か2つ目に当てはまらなければ、この脆弱性の対象ではありません。
- サーバのOSがWindowsか - 多くのレンタルサーバやVPSはLinuxで動いており、その場合は当てはまりません。
- PHPをCGIで動かしているか - Windowsでも、PHPをPHP-FPMや、Apacheのモジュール（mod_php）で動かしている場合は当てはまりません。ただし、php-cgi.exeが外から呼べる場所に置かれていると、CGIの設定をしていなくても当てはまります。XAMPPのWindows版は、初期設定のままでこの状態です。
- PHPのバージョン - 8.3.8、8.2.20、8.1.29より前のバージョンが対象です。8.0以前のPHPには修正版が出ていません。
サーバのOSとPHPのバージョンは、EC-CUBEの管理画面の「設定 > システム設定 > システム情報」で確かめられます。PHPの動かし方が分からないときは、サーバ会社か、サーバを設定した会社に確かめます。
DEVCOREは、日本語や中国語以外の環境のWindowsでも、攻撃の経路がないとは言い切れないとしています。WindowsでPHPをCGIで動かしている場合は、言語の設定にかかわらず、次の対策をおすすめします。
今できること
修正版のPHPにする
当てはまる場合は、PHPを修正版以降に更新します。PHPを更新するときは、使っているEC-CUBEが、そのPHPのバージョンに対応しているかもあわせて確かめます。
8.0以前のPHPは、開発元のサポートが終わっていて修正版が出ません。PHPのバージョンを上げるには、EC-CUBEの更新が必要になることがあります。サポートが終わったソフトウェアの扱いは、サポート終了への対応でまとめています。
すぐに更新できないとき
DEVCOREは、日本語と中国語の環境に向けた一時的な回避策として、Apacheの設定で攻撃に使われるリクエストを断る方法を示しています。
RewriteEngine On
RewriteCond %{QUERY_STRING} ^%ad [NC]
RewriteRule .? - [F,L]あくまで一時的な回避策で、更新の代わりにはなりません。XAMPPでPHPのCGIを使っていない場合は、httpd-xampp.conf の ScriptAlias /php-cgi/ "C:/xampp/php/" の行をコメントにして、php-cgi.exeを外から呼べないようにします。
CGIで動かすのをやめる
CGIは古い動かし方で、DEVCOREもPHP-FPMなどへの移行を勧めています。サーバの構成を見直す機会があれば、CGIからの移行もあわせて検討します。
相談先
サーバのOSやPHPの動かし方が分からない、PHPを更新するとEC-CUBEが動くか不安、という場合は、セキュリティの対応でご相談を承っています。