以下は WordPress.org 公式ブログの記事「Critical PHP Security Release」の翻訳です。
誤字脱字誤訳などありましたらフォーラムまでお知らせください。
PHP プロジェクトが、PHP で見つかった2件の重大なセキュリティ脆弱性を修正するセキュリティリリースを発表しました。(以下、記事内リンク先は英語となります。)
深刻度が高いため、サイト所有者の皆さんは PHP をすぐに更新してください。ご利用のホスティング会社がすでに PHP の更新や、脆弱性を緩和するウェブアプリケーションファイアウォール (WAF) ルールの導入を進めているかもしれません。その場合でも、ホスティング会社から更新の案内が出ていないか確認し、必要があればできるだけ早く PHP を更新してください。
WordPress では、「ツール」>「サイトヘルス」>「情報」>「サーバー」で、サイトが使っている PHP のバージョンを確認できます。ホスティング会社の管理画面でも、この情報を確認できることが多くあります。
今回の脆弱性は WordPress に固有のものではありません。PHP アプリケーションをホストしているすべてのサーバーが影響を受けます。この問題のために WordPress を更新する必要はなく、WordPress の更新も予定していません。
PHP 8.2より前のバージョンには、PHP プロジェクトからのセキュリティ更新はもう提供されていません。
サイトがそれより前のバージョンで動いていて、ご自身でウェブサーバーを管理している場合は、新しいバージョンの PHP への更新を準備するあいだ、サーバーをオフラインにすることも検討してください。この助言は、複数の国のサイバーセキュリティ機関からも出ています。英国国家サイバーセキュリティセンター (NCSC) は次のように述べています。
直ちに対策を講じることができない場合、組織は完全に緩和できるまでシステムをオフラインにすることを検討すべきです。
wordpress.org の関連情報:
協力者: @sysbird, @atachibana, @toru, @torikumo