PHPのCGIモード利用時に深刻な脆弱性 - コード流出やDoS攻撃のおそれ

PHPをCGIモードで利用している場合に影響を受ける深刻な脆弱性「CVE-2012-1823」が判明した。

PHPをCGIモードで使用した場合、検索文字列として渡される環境変数「QUERY_STRING」の処理に不具合が存在するもので、コマンドラインオプションとして認識され、リモートからコードを読み取られたり、サービス拒否が発生する可能性があるという。「mod_php」などCGIモード以外で利用する場合は影響を受けない。

The PHP Groupでは、脆弱性を解消した「PHP 5.3.12」「PHP 5.4.2」を5月3日に公開。旧バージョンの利用者にアップデートを呼びかけているが、一部修正漏れがあったとして、再度アップデートを5月8日に実施する予定。