まず、運用しているシステムがKusalkasilva LMSのsearch_class.phpファイルを用いており、パラメータschool_yearが処理されているか確認する必要があります。このファイルが存在するかどうか、そしてその処理が該当するバージョンに該当するかを、ソースコードのcommitハッシュで確認すべきです。

プロジェクト側の修正情報がまだない状況では、影響範囲を特定するための監視が重要です。たとえば、Webサーバーのログに異常なSQLクエリの試行が記録されているかを確認し、そのようなアクセスが実際に発生しているかを調査する必要があります。また、ベンダーが今後の対応計画を公表していない場合、コミュニティやメーリングリストで情報を収集するのも有効です。

現状では、パッチが提供されていないため、変更管理の観点から、脆弱性の影響範囲を明確にした上で、今後の修正情報を待ちながら、アクセス制限や入力値の検証強化などの暫定対策を検討する必要があります。たとえば、PHPの設定でSQLインジェクションのリスクを減らすようなフィルタリングを導入するのも選択肢です。

CVSSの6.3という評価は中程度ですが、リモートから攻撃可能な点と、公表された exploit の存在を考慮すると、早急な対応が求められます。しかし、運用者が自社環境に該当するバージョンが使用されているかを確認し、影響範囲を把握することが、まずは重要なステップです。

むしろ、この脆弱性は「確認すべき観点」を再確認する好機です。たとえば、ソースコードのcommitハッシュをもとに影響範囲を特定し、今後のベンダーの対応を待ちながら、変更管理と監視を強化する。それこそが、Linux運用者の責任ではないでしょうか？