phpBB Groupは6月27日（現地時間），同グループが開発しているオープンソースのWeb掲示板ソフト「phpBB」のセキュリティ・ホールを公表した。phpBB 2.0.15以前のバージョンはリモートからPHPコマンドを入力され実行される可能性がある。対策は，最新版phpBB 2.0.16にアップグレードすること。

　このセキュリティ・ホールは，phpBBのモジュールviewtopic.phpに存在する。入力データの検証の不備により，highlightパラメータが適切にフィルタリングされておらず，攻撃者がリモートからPHPコマンドを入力し実行する可能性がある。セキュリティ関連サービスを手がける仏FrSIRTによれば，危険度は「高（High）」。

　phpBBに関しては，2004年11月，phpBBのバージョン2.0.10以前に深刻なセキュリティ・ホールが報告された。このセキュリティ・ホールを突いた不正アクセスが多数報告されている。独立行政法人 情報処理推進機構(IPA)にも2005年3月，「phpBBのセキュリティ・ホールを突かれて侵入され，掲示板のログやサイトのテンプレートが改ざんされたり，削除されたりした」という被害報告が寄せられている。

　また2004年12月には，phpBBのセキュリティ・ホールを突いて侵入するワーム「Santy」が流行した（関連記事）。Santyは，GoogleでphpBBを使用しているサイトを検索し，攻撃対象を探索していた。

　phpBBはインストールが容易とされ，気軽に設置できる反面，管理に十分な注意が払われていない場合もある。phpBB Groupでは「可能な限り速やかにアップグレードを」と呼びかけている。最新バージョンおよび修正パッチはphpBBの公式サイトからダウンロードできる。

（高橋　信頼＝IT Pro)

◎関連資料
◆phpBB 2.0.16 released（phpBB Group）
◆phpBB "viewtopic.php" Remote PHP Code Execution Vulnerability（FrSIRT）