ペンタセキュリティ、PHP脆弱性「PHP2Shell」の無料診断サービス開始

ペンタセキュリティは「Cloudbric PHP2Shell 脆弱性チェックサービス」の提供を開始しました。確認したいサイトのURLを入力すると、PHPの脆弱性「PHP2Shell」の影響を調べるサービスです。

サーバーの応答情報だけを分析する非侵入型の方式を採用し、Web診断にはプログラムのインストールが不要です。同社は数秒で結果を表示すると説明しています。診断結果に応じて、対応の優先順位と対策も提示します。

サイトの外からPHPバージョンを特定しにくい環境向けには、サーバー内部のPHPバージョンや設定を検証する診断スクリプトも提供します。URLによる外部診断と、サーバー内部の情報を確認する方法は区別されています。

診断サービスは日本語、韓国語、英語に対応し、Cloudbricのサイトから無料で利用できます。外部診断だけで必要な情報を把握できない環境もあるため、結果の読み取りでは確認できた範囲を区別する必要があります。

新規の無料診断サービスに加え、同社は既存WAFの利用者向けに、PHP2Shellに対応するカスタムルールと設定ガイドを配布しました。対象はハードウェア型の「WAPPLES」、ソフトウェア型の「WAPPLES SA」、クラウド型の「Cloudbric WAF+」です。

同社は、PHPの修正パッチをすぐに適用できない環境で、WAFによる不正リクエストへの対処を補助策として案内しています。無料診断と、既存WAF利用者向けの対処は別の提供内容です。

ペンタセキュリティは、PHP2Shellへの根本的な対応は修正パッチが適用されたPHPバージョンへの更新と説明しています。診断サービスは影響範囲の確認を支援するもので、PHPを更新するサービスではありません。

WAFのルール配布も、PHPの更新そのものに代わるものではありません。記事で紹介する診断や補助策だけで、すべての環境の安全性や攻撃の遮断を保証するものではありません。

A. サイトのURLからPHP2Shellの影響を調べる無料サービスです。サーバーの応答情報を分析し、対応の優先順位や対策を示します。

A. URLから行うWeb診断にはインストールが不要です。外からPHPの版を判別しにくい環境には、内部を確認する別のスクリプトも提供します。

A. 診断は影響の確認を支援するもので、PHPを更新する機能ではありません。同社は修正パッチ適用済みのPHPへの更新を根本的な対応としています。

• Cloudbric PHP2Shell 脆弱性チェックサービス
• 既存WAF利用者向けのカスタムルール案内

O!Productニュース編集部からのコメント

外部からPHPの版を判別しにくい環境向けに、内部確認用のスクリプトも用意されています。情シス担当者が確認方法を選ぶ際の材料になりそうですね。

引用元：PR TIMES