株式会社GRCSは、外部公開資産にPHP脆弱性が残っていないかを短期間で点検できる「簡易リスクチェック」について、発表当日から無料で提供を始めました。自社ドメインに関連する外部公開資産を対象に、直近の脅威であるPHP脆弱性が把握されないまま、または対応されないまま残っていないかを確認できます。
同社は、このチェックをきっかけに企業が自社の外部公開資産を網羅的に確認して対処し、攻撃者に先回りするプロアクティブなセキュリティ体制を築けるよう支援するとしています。
提供の背景：一部の脆弱性を修正するだけでは盲点が残る
近年、Webサーバーの脆弱性や管理の不備を突いた不正アクセスによって、国内の幅広い事業者で深刻な情報漏えい事案が続いています。最近もPHPの重大な脆弱性が明らかになり、多くの企業でパッチの適用が進められました。
一方でGRCSは、特定の脆弱性を修正するだけの局所的な対応では、セキュリティ上の盲点が残ると指摘しています。攻撃者から見れば、組織が把握していない可能性のある外部公開資産（シャドーIT）全体が標的になるためです。具体例として、次のようなものを挙げています。
- 管理の手が届いていない検証用Webサーバー
- 設定ミスのあるクラウド環境
- 過去の各種キャンペーン用サブドメイン
そのため同社は、今回の緊急脆弱性対応を機に、自社の公開資産を包括的に、攻撃者の視点で点検・洗い出しして適切に対処することが、セキュリティ体制の強化につながるとしています。
簡易リスクチェックの概要
チェックの対象は、自社ドメインに紐づく外部公開サーバーやWebアプリケーションです。攻撃者に悪用される危険性のあるPHP脆弱性があるかどうかを調べ、該当箇所を特定します。
実施内容
- PHP関連脆弱性（PHP2shell）のチェック
- 打ち合わせでの結果報告
申し込みはGRCSの専用Webフォームから受け付けています。同社はこのチェックを出発点として、脆弱性パッチを当てる対症療法にとどまらず、公開資産全体をハッカーの視点で把握し、悪用の危険性が高いリスクから優先的に対処する体系的な管理への移行を支援するとしています。
GRCSについて
GRCSは東京都千代田区丸の内に本社を置き、代表取締役社長は佐々木 慈和氏です。2005年3月に設立され、東京証券取引所グロース市場に上場しています（証券コード：9250）。GRC・セキュリティ関連ソリューション事業を手がけており、今後も高度化・複雑化するリスク環境に直面する企業に向けて、専門人材によるワンストップ支援を提供していく方針です。持続可能な企業成長と、社会全体のサイバーレジリエンス向上への貢献を掲げています。
出典：GRCS
