PHP開発チームは12月15日（現地時間），オープンソースのWebアプリケーション開発言語PHPに，リモートからコードを実行されるバッファ・オーバーフローのセキュリティ・ホールが存在することを明らかにした。影響を受けるのはPHP 4の4.3.9以前のバージョンと，PHP5の5.0.2以前のバージョン。対策は，最新版4.3.10または5.0.3にバージョンアップすること。深刻なセキュリティ・ホールであり，PHP開発チームは「可能な限り迅速にアップグレードすることを強く推奨する」としている。

　セキュリティ・ホールを報告したHardened-PHP Projectによれば，問題の詳細は以下の通り。(1)pack()関数のヒープ・オーバーフローにつながる整数オーバーフロー，(2)ヒープ情報漏えいにつながるunpack()関数の整数オーバーフロ，(3)マルチスレッドでのsafe_mode_exec_dirバイパス，(4)safe_modeでのパスのアクセス制限バイパス，(5)realpath()関数でのパスアクセス制限の問題，(6)ネガティブ・リファレンスでのunserialize()の処理の問題，(7)解放されたデータへの参照のunserialize()の処理の問題。

　このセキュリティ・ホールについては，IT Pro連載コラム「PHPウォッチ」第13回（12月20日掲載）でも解説する予定である。

◎関連資料
◆Advisory: Multiple vulnerabilities within PHP 4/5（Hardened-PHP Project）
◆PHP 4.3.10 ChangeLog（The PHP Development Team）
◆PHP 5.0.3 ChangeLog（The PHP Development Team）