それはですね、まず「Smartyのバージョンが4.5.8未満か5.xが5.8.5未満か」を確認するところから始まります。この脆弱性は、テンプレート継承処理でnocache_hashが正しく復元されないため生じるものです。PHPのキャッシュファイルに任意のコードが挿入される可能性があるため、運用環境でSmartyが使われている場合、まずはバージョン確認が不可欠です。

むしろ、倫理は後回しです。まずは現実的対応が先です。例えば、影響範囲が限定されている可能性があるとされるが、実際の運用環境でテンプレートの継承構成が適切かを点検する必要があります。その際、パッチ適用の前に、現行のSmartyバージョンが該当範囲に含まれているかを明確に確認しましょう。

パッチ適用は当然ですが、それ以前に変更管理のプロセスがしっかりしているかを確認してください。例えば、Smartyのバージョン変更がドキュメントに記録されているか、またはCI/CDのパイプラインで自動検出されているか。また、PHPキャッシュファイルの監視や、不正なマーカーの挿入を検出するような監視ツールの導入も検討すべきです。

ベンダーが発表したパッチや対応バージョンが正確でない場合、誤った対応を起こす可能性があります。例えば、CVEの説明に「PHPベースのWebアプリケーション」が挙げられているため、Smartyを用いているがPHPが使われていない環境では影響がないかもしれません。でも、確認せずに仮定してはいけません。ベンダーの公式情報に従って、現行環境との整合性を必ずチェックしましょう。

「確認せよ、そして確認せよ」。バージョン確認、点検、パッチ適用、変更管理、監視、ベンダー情報確認…これらの手順を軽く見ると、後で大きな損失を招くかもしれません。でも、焦って行動するより、慎重に確認する方が賢明です。少なくとも、この会話で「Smartyのバージョンが4.5.8未満か？」という問いが頭に浮かぶようになれば、成功です。