そりゃ、当然です。PHPのオブジェクトインジェクションって、まるでドアの鍵が開かずにいるようなものです。攻撃者は「こんにちは」と言って中に入れる。でも、まずは現実的な確認が大事です。たとえば、サーバーにDrone Mediaがインストールされているか、PHPの設定に異常がないか。公式情報を見て、自分の環境に該当するかを確認する必要があります。

パッチはもちろんです。でも、パッチが本当に適用されたか、変更管理の記録を確認しないと、後で「あれ？いつの間にか修正されていた」となるかもしれません。それから、監視システムで異常なアクセスがないかをチェックするのも重要です。たとえば、突然のPHPスクリプトの異常な挙動に気づけるようにしておくべきです。

影響調査ですね。たとえば、Drone Mediaの導入状況をリストアップし、PHPのバージョンや設定ファイルを確認します。公式サイトやNVDの情報を見ながら、自分の環境が該当するかを精査する必要があります。でも、あまり心配しすぎてもダメです。CVSSスコアが高くても、環境次第でリスクは変わるからです。

それは、ある鍵が開かずにいることですね。でも、鍵を無視するよりは、まずは「これは開かなくていいのか？」と問い直すことです。そして、鍵の存在を確認し、正しい方法で閉めること。それが、運用者としての責任です。

公式情報の確認です。そして、パッチ適用と変更管理の記録。それから、監視の強化。たとえCVSSスコアが高くても、自分の環境が実際に影響を受けているかを確かめないと、無駄なパニックになります。でも、心配しすぎず、冷静に行動しましょう。たとえば、PHPのスクリプトをチェックするとき、コーヒーを飲みながらでも大丈夫です。