Skip to main content
Snyk ブログ

In this article

PHPコードセキュリティについて知っておくべきこと

著者
Headshot of Liran Tal

Liran Tal

2024年9月4日

0 分で読めます

Web開発で広く使われているスクリプト言語のPHP。利用者が多いからこそ、PHPに潜むセキュリティリスクと、その軽減策を理解することが重要です。WordPressを使ったCMSアプリケーションのデプロイでも、Laravel PHPフレームワークを使ったエンタープライズアプリケーションの構築でも、PHPセキュリティの重要性と、PHPインタープリターの代表的な脆弱性がビジネスに与える影響を開発者が正しく理解する必要があります。

PHPのセキュリティ脆弱性への対策が重要なのはなぜでしょうか？PHPは広く使われているため、ハッカーや悪意のある攻撃者に狙われやすい言語です。不適切なコーディング、ユーザー入力のサニタイズ不足、古いバージョンの使用など、さまざまな原因でセキュリティ脆弱性が生じる可能性があります。

たとえば、サニタイズされていないユーザー入力をSQLクエリに使用するケースを考えてみましょう。これは、一般的な脆弱性であるSQLインジェクションにつながる可能性があります。

$id = $_GET['id'];
$sql = "SELECT * FROM users WHERE id = $id";

このコードでは、悪意のあるユーザーがURLのidパラメーターを改変してSQLインジェクションを実行できます。これを防ぐには、mysqli_real_escape_stringやプリペアドステートメントを使うなどして、ユーザー入力をサニタイズすることが重要です。

$id = mysqli_real_escape_string($conn, $_GET['id']);
$sql = "SELECT * FROM users WHERE id = $id";

PHPアプリケーションのセキュリティ脆弱性は、ビジネスに深刻な影響を及ぼす可能性があります。データ侵害が発生すれば、GDPRやCCPAなどのデータ保護規制への違反により、多額の罰金が科されるおそれがあります。また、顧客の信頼が損なわれ、ビジネスの損失につながることもあります。さらに、脆弱性の修正コストは高額になる可能性があり、特に開発ライフサイクルの後半で発見された場合はその傾向が顕著です。だからこそ、プロジェクトの開始時からセキュリティを優先することが重要です。

関連するよくある質問

PHPアプリケーションを脆弱性から守るにはどうすればよいですか？

ユーザー入力は必ず検証・サニタイズしてください。SQLインジェクションを防ぐため、パラメーター化クエリを使用したプリペアドステートメントを使いましょう。既知の脆弱性に対するセキュリティパッチが含まれているため、PHPとフレームワークは常に最新バージョンを使用してください。Snykなどのツールでコード、アプリケーションの依存関係、クラウドインフラストラクチャの設定を定期的にスキャンし、脆弱性を検出しましょう。セキュアコーディングの実践に従ってください。

PHPのセキュリティが重要なのはなぜですか？

脆弱なPHPアプリケーションは、データ侵害や顧客からの信頼の喪失、規制違反による罰金につながる可能性があるため、PHPのセキュリティは非常に重要です。PHPはWebアプリケーションの開発によく使われるため、攻撃者の標的になりやすい傾向があります。PHPコードの安全性を確保することで、ユーザーのデータとビジネスを保護できます。

PHP脆弱性スキャナーとは何ですか？

PHP脆弱性スキャナーは、PHPコードを自動的にスキャンし、既知のセキュリティ脆弱性を検出するツールです。SnykやComposerに組み込まれたセキュリティチェッカーなどがあります。こうしたツールを使うと、PHPアプリケーションのセキュリティ上の問題を特定し、修正できます。

PHPのセキュリティアドバイザリとは何ですか？

PHPのセキュリティアドバイザリとは、PHPコンポーネントのセキュリティ脆弱性に関する公開情報です。脆弱性の詳細や想定される影響、修正方法が記載されています。PHP.netをはじめとするPHP関連のWebサイトで公開されることが多く、SnykもComposerパッケージマネージャーを基盤としたPHPセキュリティアドバイザリのデータベースを提供しています。

PHPでよく見られるセキュリティ脆弱性

PHPでよく見られるセキュリティ脆弱性をいくつか取り上げ、軽減に役立つ開発者向けセキュリティリソースをご紹介します。

Cookieとセッションは、リクエスト間で状態を維持するためのWeb開発の基本要素です。しかし、適切に管理しないと、深刻なセキュリティ上の欠陥を招くおそれがあります。

PHPでは、特にLaravelのようなWebフレームワークで認証を管理する場合、Cookieとセッションデータを安全に保護することが重要です。以下の点に注意しましょう。

  • 必ずSecure属性とHttpOnly属性を設定したCookieを使用しましょう。

  • クロスサイトリクエストフォージェリ（CSRF）攻撃を防ぐため、SameSite属性にはLaxまたはStrictを設定しましょう。

  • セッション固定攻撃を防ぐため、ログイン後やパスワード変更後にセッションIDを再生成しましょう。

Laravelでは、config/session.phpファイルでこれらの設定を行えます。

'cookie' => env(
    'SESSION_COOKIE',
    Str::slug(env('APP_NAME', 'laravel'), '_').'_session'
),
'cookie_secure' => env('SESSION_SECURE_COOKIE', null),
'cookie_same_site' => 'lax',

PHPのセキュリティ脆弱性対策に役立つ、Laravelアプリケーションを安全に保護する方法などのWebセキュリティガイドラインもご覧ください。

SQLインジェクション

SQLインジェクションは、攻撃者がWebアプリケーションのデータベースクエリの脆弱性を悪用するコードインジェクション手法です。機密データへの不正アクセスや、データの改ざん・削除につながる可能性があります。

次の脆弱なPHPコードを見てみましょう。

$id = $_GET['id'];
$result = mysqli_query($con, "SELECT * FROM users WHERE id = $id");

攻撃者はURLのidパラメーターを改変して、SQLクエリを書き換えることができます。これを防ぐには、プリペアドステートメントを使用しましょう。

$stmt = $conn->prepare("SELECT * FROM users WHERE id = ?");
$stmt->bind_param("s", $_GET['id']);
$stmt->execute();

SQLインジェクションとPHPセキュリティについて詳しく知りたい方は、無料のPHPセキュリティ学習コンテンツをご覧ください。

コードインジェクション

コードインジェクションもよく見られる脆弱性です。攻撃者がアプリケーションに任意のコードを挿入し、実行させる可能性があります。PHPでは、ユーザー入力の適切な検証やサニタイズを行わずにeval()関数やシステムコールに渡すと、発生することがあります。

PHP Laravelプロジェクトでの次のケースを考えてみましょう。ある開発者が、Bladeテンプレート内で画像URLを動的に生成しようとしていました。変数の内容とLaravelのURLヘルパー関数を使ってパスを組み立て、画像を表示することが目的です。そのために、開発者は次のようにPHPのeval()関数を使用しました。

<?php
  eval("\$image_url = \"{{ url('public/uploads/trust/".$value.".jpg') }}\";");
?>

<img src="{{ $image_url }}" />

開発者は、$value変数に基づいて画像URLを柔軟に生成しようとしていました。しかし、eval()の使用には、次のような重大なセキュリティ上の懸念があります。

  • コードインジェクション：eval()に渡される文字列の内容を攻撃者が操作できる場合、サーバー上で任意のPHPコードを実行される可能性があります。不正アクセスやデータ侵害をはじめ、さまざまなセキュリティ上の問題につながるおそれがあります。

  • デバッグと保守が複雑になる：eval()で実行されるコードは、アプリケーションのロジックや処理の流れが見えにくくなるため、デバッグや保守が難しくなりがちです。この複雑さが、意図せずさらなるセキュリティ上の欠陥やバグを招く可能性があります。

開発者は、LaravelのBladeテンプレートエンジンを使って画像URLを生成することで、より安全で保守しやすい方法を実現できました。

<img src="{{ url('public/uploads/trust/'.$value.'.jpg') }}" />

この方法ではeval()を使わず、Laravelに組み込まれた機能を活用して動的コンテンツを安全に生成できます。PHPのコードインジェクションを防ぐ方法についてもぜひご確認ください。

PHP Composerの依存関係にあるセキュリティ脆弱性をテストする

アプリケーションセキュリティで見落とされがちな領域の一つが、サードパーティの依存関係です。PHPでは、Composerを使って依存関係を管理します。既知のセキュリティ脆弱性がないか、依存関係を定期的に確認することが重要です。

Snykなどのツールを使えば、Composerの依存関係を自動スキャンし、既知の脆弱性を検出できます。Snykのインストール方法と使い方は次のとおりです。

npm install -g snyk
snyk test

ルートディレクトリでsnyk testコマンドを実行してComposerの依存関係にあるセキュリティ脆弱性をテストすると、次のような出力が表示されることがあります。

Testing /path/to/your/laravel-project/composer.lock...

✗ High severity vulnerability found in symfony/http-foundation
  Description: Arbitrary Code Execution
  Info: https://snyk.io/vuln/SNYK-PHP-SYMFONY-174006
  Introduced through: symfony/http-foundation@5.4.0
  From: symfony/http-foundation@5.4.0
  From: symfony/http-foundation@5.4.0 > symfony/http-foundation@5.4.0
  From: symfony/http-foundation@5.4.0 > symfony/http-foundation@5.4.0 > symfony/http-foundation@5.4.0
  From: symfony/http-foundation@5.4.0 > symfony/http-foundation@5.4.0 > symfony/http-foundation@5.4.0 > symfony/http-foundation@5.4.0
  Fix: Upgrade to symfony/http-foundation@5.4.1

Tested 123 dependencies for known vulnerabilities, found 1 vulnerabilities, 122 vulnerable paths.

Snykを使ってPHP Composerの依存関係にあるセキュリティ脆弱性をテストする方法もぜひご覧ください。

PHPインタープリターのセキュリティ脆弱性

セキュアなコーディングを実践していても、PHPインタープリター自体に脆弱性があれば、アプリケーションがリスクにさらされる可能性があります。たとえば、Debian PHP8.2 packageでは複数の脆弱性が報告されており、Snykのデータベースで確認できます。

PHPインタープリターにおける代表的な脆弱性には、次のようなものがあります。

  • CVE-2023-0568：リソースの無制限な割り当てまたはスロットリングの欠如

  • CVE-2023-3823：XML外部エンティティ（XXE）インジェクション

  • CVE-2023-0662：リソース枯渇

これらの脆弱性を悪用されると、攻撃者による任意コードの実行やDoS（サービス拒否）攻撃につながるおそれがあります。そのため、PHPを常に最新バージョンに保ち、使用中のPHPインタープリターで報告された脆弱性がないか、定期的に確認することが重要です。

SnykはPHPのセキュリティ対策にどのように役立ちますか？

Snykは、開発者を第一に考えた強力なセキュリティプラットフォームです。PHPアプリケーションのセキュリティ脆弱性の検出と修正を支援します。既知の脆弱性を網羅したデータベースを備え、プロジェクトを自動スキャンして問題を検出できます。また、自動修正PRも提供しており、検出された脆弱性の修正にかかる開発者の時間を大幅に節約できます。

PHPで最も一般的な脆弱性は何ですか？

開発者が把握しておくべき、PHPでよく見られる脆弱性はいくつかあります。次のようなものです。

  1. インジェクション攻撃：攻撃者が悪意のあるSQLやスクリプトをPHPコードに挿入できる場合に発生します。たとえばSQLインジェクションでは、攻撃者がSQLクエリを操作し、データベースへの不正アクセスを試みます。

  2. クロスサイトスクリプティング（XSS）：攻撃者が、ほかのユーザーが閲覧するWebページに悪意のあるスクリプトを挿入できる場合に発生します。スクリプトによって、ユーザーの機密データが盗まれるおそれがあります。

  3. クロスサイトリクエストフォージェリ（CSRF）：この種の攻撃では、攻撃者が被害者をだまして悪意のあるリクエストを送信させます。

  4. ファイルインクルージョンの脆弱性：攻撃者がリモートサーバー上のファイルを読み込める場合に発生し、多くの場合、サーバー上でのコード実行につながります。

PHPセキュリティの今後

PHPインタープリターの脆弱性に関する最新情報を得る方法の一つは、GitリポジトリをSnykに接続することです。依存関係の脆弱性が自動的に監視され、新たな脆弱性が報告されると通知されます。Dockerなどのコンテナ技術を使ってPHPアプリケーションをデプロイしている場合は、コンテナイメージの脆弱性も監視することが重要です。DockerコンテナイメージにはPHPインタープリターやその他の依存関係が含まれており、脆弱性が存在する可能性があるためです。

Dockerを使用している場合は、次のコマンドを実行して、SnykでDockerコンテナイメージに既知の脆弱性がないかスキャンできます。

snyk container test your-docker-image

PHPアプリケーション用の本番環境に適したDockerfileを構築するJames Walkerのベストプラクティスと、PHPコンテナを保護するためのNeema MugangaによるSecuring PHP Containersガイドをご覧ください。

PHPのセキュリティ脆弱性への対策は後回しにせず、開発プロセスに欠かせない要素として取り入れましょう。セキュアなコーディングの実践、定期的なアップデート、PHPエコシステムで報告される脆弱性への継続的な警戒が重要です。

PHPのセキュリティについて詳しく知るにはどうすればよいですか？

PHPのセキュリティについて詳しく知るには、Snykブログのオンラインチュートリアルを参考にしたり、Snyk Learnで無料の短時間オンラインレッスンを受講したりできます。OWASPなどのWebサイトでも、PHPを含むWebアプリケーションセキュリティに関する豊富な情報を提供しています。

開発しながらコードを安全に

Snykはコードの品質とセキュリティ上の問題をスキャンし、IDE上で修正方法を提案します。

GitHubで無料で始めるGoogleで無料で始める

カテゴリー:
コードセキュリティ

続きを読む

blog feature snyk container custom base recommendations
Blog

Evo Agentic AppSecのご紹介：AI開発のスピードに対応するセキュリティ

AI駆動型開発のスピードに、従来のセキュリティワークフローは追いついていません。SnykのAgentic AppSecは、セキュリティエージェントが脆弱性を継続的に検出、修正、検証し、人が基準を定められるようにします。

feature insights context
Blog

自律型攻撃はすでに始まっている。防御もそのスピードに追いつかなければならない。

自律型攻撃者によって、防御に使える時間は短くなっています。継続的な検出、修復、検証、予防で、セキュリティチームが攻撃に歩調を合わせる方法をご紹介します。

illustration hero ai
Blog

AIハリケーンが到来

AIはソフトウェア開発とサイバー攻撃の双方を加速させています。リーダーは、エージェントとコードを開発の初期段階から保護し、実行時に制御を徹底するとともに、防御策を独立して検証しなければなりません。