ウマ娘やグラブルが緊急メンテ、理由はPHPの重大な脆弱性

10月21日の夜、ウマ娘やグラブルなどが緊急メンテナンスに入る予定だ。理由は、PHPの重大な脆弱性2件の修正版が、今夜23時に出る予定だから。

この記事は10月21日19時時点の情報で書いている。

発端は前日のPHP公式告知

PHPの公式サイトは10月20日、「Upcoming Critical PHP Security Release」と題して、重大なセキュリティリリースの予定を告知した。php.netのニュースに載っている。

公開予定は10月21日の14:00 UTC。日本時間にすると、10月21日の23時になる。

告知には「2件の重大な脆弱性に対処する」とあり、どちらもCVSS v4.0で9.2と評価されている。

脆弱性の中身と影響を受けるバージョンは、リリースと同時に公開される予定だ。

詳細が出回った場合や、実際に悪用が確認された場合は、前倒しで出す権利も留保している。

CVSSは、脆弱性の深刻度を0から10で表す共通の物差しだ。

v4.0の仕様書では、9.0から10.0が最上位の「Critical」にあたる。9.2はその帯に入っている。

10月21日の13時01分には、国家サイバー統括室の公式アカウント @cyber_forecast が注意喚起を出した。

@cyber_forecast のポストをXで見る

投稿は、公開しているウェブサイトでPHPを使っているかを確認して、23時に公開される修正パッチを「可及的速やかに適用できるよう準備」してほしい、という内容だ。

夕方になると、Cygamesの各タイトルが順に告知を出した。

グラブルの公式は17時55分に告知している。サーバーで使っているPHPの脆弱性が発見されたとの発表があり、システムの安全性を確保するための緊急メンテナンスを実施する、という説明だ。

@granbluefantasy のポストをXで見る

ウマ娘の公式は18時30分の投稿で、メンテ中はゲームを開始もプレイもできないと案内している。

@uma_musu のポストをXで見る

神撃のバハムートは19時02分の告知で、メンテを22時から始めるとした。ほかより1時間早い。

こちらの告知には「現時点で本件による被害やデータ流出等は確認されておりません」とある。GAME Watchも、Cygamesのタイトル全体について、現時点で被害やデータ流出は確認されていないと伝えている。

止まるのはゲームだけではない。

オンライン即売会サービスの pictSQUARE は、16時15分の投稿でメンテを告知した。サービスに使っているPHPに重大な脆弱性が2件見つかり、国家サイバー統括室からも注意喚起が出ている、という説明だ。

@pictsquarenet のポストをXで見る

pictBLand、pictSPACE、kawasemi cloud の公式も、ほぼ同じ文面で告知している。

19時台に pictsquare.net を開いてみると、すでに503エラーが返ってきた。

ブシロードも19時の投稿で、グループのWebサイトとシステムで使っているPHPに脆弱性が発見されたと発表している。

ここまで業種をまたいで告知が並ぶのは、PHPがそれだけ広く使われているからだ。

調査会社W3Techsによると、サーバー側の言語が分かっているサイトのうち、PHPは69.3%で使われている。

ゲームの運営も、イラストの投稿サイトも、企業のグループサイトも、裏側で同じ言語を使っていたことになる。

ウマ娘もグラブルもシャドバWBも、23時から入るので、遊ぶなら先にやっておいたほうがいい。

ウマ娘とシャドバWBは終了時間が決まっていないので、復旧の時刻は公式のお知らせで見ることになる。

肝心の脆弱性の中身は、23時の修正版と一緒に明かされる予定だ。今の時点で分かっているのは、重大なものが2件あることと、深刻度が9.2ということだけで、それ以上の細かい話は出ていない。