「PHP 5.1.0 リリース」記事へのコメント

4.xx系のセキュリティは。。

[sstm (27015)]

会社でサーバを30台ほど(２社から)レンタルしているのですが
先日(とは言っても11/4)重大なセキュリティホールが見つかったとかで
「PHP 4.3.11 + セキュリティパッチ」
に構成を変更されました。

4.xx/3.xx系のセキュリティパッチで
十分な(5.xx並の)セキュリティは得られるんでしょうか？

# 同じ4.xx系を使っている１社からは
# 何故か何の連絡もないので心配心配

Re:4.xx系のセキュリティは。。

[mojalor (16164)]

PHP3はとっくの昔にメンテナンスされなくなっているので論外ですが、4.3.11への$GLOBAL保護パッチ [ohgaki.net]ということなら、おそらく大丈夫です。
「5.xx並の」というと語弊があるし、PHPのことだから「十分」とも断言できませんが、現状では大きな問題ないと思います。
そもそも register_globals=On だったり、やたらと import_request_variables() や extract() またはそれに類する関数を使っていない限り件の脆弱性の影響は受けませんし。
PHP自体だけでなく、スクリプトにセキュリティホールがないかということにも気を配ってください。

ところで既に4.3.xの開発は停止していますし、来週には4.4.2が出る予定ですのでそちらへのアップグレードを検討されてはどうでしょうか。
脆弱性の修正のみならず、多くのバグが修正されています。
4.3.xから5.1.0への移行は大変だと思いますが、4.4.xへなら、とりあえず定数値への参照 [ohgaki.net]の仕様変更にさえ気をつければ、大きな混乱はないでしょう。
# いきなり業務で使ってるサーバをアップグレードせずに、テスト用サーバで一通りの動作確認するのは必須です。