CVE-2024-4577から学ぶ。PHP更新後にも確認したい侵害の痕跡

これは2024年に公表された注意喚起

IPAは2024年7月5日にCVE-2024-4577を狙う攻撃について公表し、7月12日に更新しています。国内複数組織での悪用とWebサービスへのwebshell設置の指摘を説明しています。この記事の確認日は2026年10月26日ですが、事件を今年発生したものへ読み替えてはいません。個別企業名や被害件数は補っていません。

公式情報：IPA：CVE-2024-4577を狙う攻撃（2024年7月）（確認 2026-10-26）

適用条件と、現在の更新先を分ける

当時の案内はWindows上のPHPを対象とし、8.1.29、8.2.20、8.3.8を各枝の当該問題の修正境界として示しています。これらは2024年の修正境界であり、現在の推奨更新先ではありません。実行方式や設定を含む該当性の判断と、現時点のサポートされた修正版への更新を担当者へ依頼します。

公式情報：IPA：CVE-2024-4577を狙う攻撃（2024年7月）（確認 2026-10-26）

見落としやすい対象を、契約から探す

以下はSONAEの棚卸し案です。会社の本サイトだけでなく、古い受付フォーム、以前の制作会社が残した確認環境、社内で公開した検証サイトを契約と照合します。名前を知っている外部サイトへ勝手に試験接続はしません。管理権限を確認できない対象は所有者への確認待ちとし、どの範囲を委任できるかを先に整理します。

SONAEの点検・運用提案。架空例。

更新は侵入経路への対処。既存の改変は別に調べる

IPAは、修正を適用した後でも通信ログなどから攻撃被害を確認するよう案内しています。更新の記録を、その前に置かれた不正ファイルが消えた証拠にはできません。SONAEの運用案では、保守担当と事故対応担当が、更新の完了と調査の範囲を別に記録します。怪しいファイルを見つけても、その場で動作させて確認しないようにします。

公式情報：IPA：CVE-2024-4577を狙う攻撃（2024年7月）（確認 2026-10-26）

不審なものを消す前に、記録と判断先をそろえる

管理者が疑わしい変更を認めたら、定めた連絡先へ戻し、アクセス制限、記録保全、専門支援の必要性を判断します。安易な再起動や削除で調査材料を失わないよう、操作前の承認と目的を残します。この記事は解析手順の代わりではなく、発注担当が「更新したので調査不要」と短絡しないための確認項目を示しています。

SONAEの点検・運用提案。架空例。

報告書には、未確認を残せる欄を設ける

SONAEは、確認した期間とログの種類、保存されていなかった期間、確認者、残課題を報告に添えることを提案します。ログに見つからなかったという説明だけで、侵害が絶対になかったと判断しません。2024年の事例を現在の全PHP構成へ一般化せず、自社の管理対象と確認可能な証拠に即して、更新と調査の次の担当を決めましょう。

SONAEの点検・運用提案。架空例。

保全と復旧の依頼で、混ぜない三つの成果物

SONAEの架空の発注例では、第一に更新の適用記録、第二に確認した記録の期間と調査結果、第三に再開や継続利用の判断を受け取ります。ログが保存されていなかった期間は空白として示し、確認不能を異常なしへ変えません。不審なファイルを発見した場合、保全の方法と作業権限を対応担当へ確認し、共有フォルダーへそのまま複写して複数人が開く運用を避けます。復元を選ぶときも、復元元の時点と侵害の可能性、認証情報の扱い、再侵入経路を調べる担当を決めます。何をしたかと、何が分かったかを別欄へ残すと、次の専門支援へ引き継ぎやすくなります。

SONAEの点検・運用提案。架空例。

完了前のチェック

• 2024年の事例と現在の調査日を区別
• 当時の修正境界を現在の推奨版にしない
• 更新と既存侵害の確認を分ける
• 証拠を壊す操作の前に対応担当へ戻す

一次資料と確認範囲

• IPA：CVE-2024-4577を狙う攻撃（2024年7月）

資料の対象条件と掲載内容を確認して構成した記事です。顧客への接続や攻撃再現はしていません。資料の改訂を自動追従するものではありません。実施直前に公式資料と配布元の最新案内を再確認してください。