最近、PHPの深刻な脆弱性が公表されて話題になっていますが、ヤマハのRTXシリーズは問題ないのでしょうか。
ヤマハのRTXシリーズはブラウザから設定できるWeb GUIを搭載しているため、「Web画面があるということはPHPで動いているのでは」と不安になる方も多いかもしれません。

結論から言うと、RTX1300をはじめとするRTXシリーズの内部でPHPは使用されていないため、PHPの脆弱性による直接的な影響はありません。

RTXシリーズで動作しているプログラム環境

RTX1300において組み込み・実行されるプログラム環境は、以下の2つです。

  • JavaScript：ユーザー独自のWeb GUI(カスタムGUI)を作成するための言語
  • Luaスクリプト：ルーターの状態変化に応じた処理や自動制御を行うためのプログラミング機能(Lua 5.1.4)

いずれもPHPとは無関係の実行環境です。Web GUIの画面もサーバー側でPHPを解釈して生成しているわけではないため、PHPのコードが実行される余地がありません。

PHPではなく注視すべきWeb GUIのセキュリティ設定

PHPのCVE(脆弱性の識別番号)を追う必要はありませんが、Web GUIを外部から触れる状態にしておくこと自体がリスクになります。以下の設定を確認しておきましょう。

① Web GUIを使用しないなら停止する

CLI(コマンドライン)のみで運用している場合は、Web GUIそのものを停止するのが最も確実です。

# Web GUIを無効化する
httpd service off

② HTTPSを有効にして平文アクセスを禁止する

Web GUIを使用する場合、初期値ではHTTPS(暗号化通信)が無効になっています。security-levelオプションを指定することで、HTTPSを有効化できます。

# HTTPSを有効にし、暗号化されていないHTTPアクセスを許可しない
httpd service on security-level=3

security-levelの値は以下の通りです。

  • 3：HTTPSを有効にし、保護されていない(HTTPの)アクセスを許可しない
  • 2：HTTPSを有効にし、HTTPのアクセスをHTTPSへ強制的にリダイレクトする
  • 1：HTTPSを有効にし、HTTPのアクセスも許可する
  • 0：HTTPSを無効にする(初期値)

なお、security-levelを変更するとWeb GUIがリセットされ、HTTPセッションが切断される点に注意してください。設定変更はリモート作業中ではなく、切断されても復旧できる状況で行うのが安全です。

③ アクセス元を制限する

Web GUIを有効のまま運用する場合は、IPフィルターや接続許可ホストの設定により、管理端末のセグメントからのみアクセスできるよう制限します。特にWAN側(インターネット側)からWeb GUIに到達できる状態になっていないかは、必ず確認してください。

まとめ

  • RTXシリーズの内部でPHPは使用されていないため、PHPの脆弱性による直接的な影響はない
  • 動作するのはLua(自動制御用)とJavaScript(カスタムGUI用)で、Web GUIもPHPで生成されてはいない
  • 追うべきはPHPのCVEではなく、Web GUIの停止・HTTPS化・アクセス元制限といった設定面の対策

脆弱性情報への対応では「その製品にその機能が載っているか」を切り分けるのが第一歩です。実行環境を把握しておけば、影響調査の工数を大きく削減できます。