Cloudbase Sensor、PHPパッケージのSBOM収集・脆弱性可視化に対応

Cloudbase株式会社（本社：東京都港区、代表取締役CEO：岩佐晃也）は、同社が提供する国産セキュリティプラットフォーム「Cloudbase」において、Cloudbase Sensorの機能を拡張し、新たにPHPパッケージのスキャン機能を追加したことをお知らせします。

本機能により、Cloudbase Sensorを導入した環境において、PHPアプリケーションで利用されているパッケージ情報をSBOM（Software Bill of Materials）として自動収集し、関連する脆弱性を継続的に可視化できるようになります。

## 開発背景

近年、ソフトウェアサプライチェーンリスクへの関心が高まっています。それに伴い、利用しているOSSパッケージやライブラリの継続的な把握と脆弱性管理の重要性が増しています。特にWebアプリケーション開発で広く利用されているPHPエコシステムでは、Composerを利用した依存パッケージ管理が一般的となっており、利用ライブラリの脆弱性把握がセキュリティ運用上の重要な課題となっています。

また、お客さまからも「PHPアプリケーションにおけるOSS利用状況を可視化したい」「統合的に脆弱性管理を行いたい」といったご要望をいただいていました。

こうした背景を踏まえ、Cloudbase SensorにおいてPHPパッケージ情報の自動収集に対応し、SBOMを活用した脆弱性管理を実現しました。

## アップデート内容

今回のアップデートでは、Cloudbase Sensorが対象システム上のPHPパッケージメタデータを自動的にスキャンし、SBOMとして収集できるようになりました。

これにより、ComposerベースのPHPアプリケーションで利用されているライブラリ情報を可視化し、関連する脆弱性をCloudbase上で継続的に管理できます。

収集したSBOM情報は、Cloudbaseが提供する脆弱性管理機能やリスク優先度評価機能と連携し、脆弱性の影響度や対応優先度を一元的に確認できます。

収集される情報：
- パッケージ名
- バージョン
- ライセンス情報
- パッケージ間の依存関係
- PURL（Package URL）
- パッケージの所在パス
- PHP関連パッケージの脆弱性が表示される
- リソース詳細のソフトウェアタブ

## 期待される効果

Cloudbaseの脆弱性管理機能およびリスク優先度評価機能と連携することで、対応優先度を踏まえた効率的な運用を実現します。

- PHPアプリケーションで利用されているOSSパッケージ情報をSBOMとして自動収集し、継続的に可視化
- ComposerベースのPHPアプリケーションにおける脆弱性を一元的に管理
- 脆弱性発見時に、影響を受けるパッケージやシステムを迅速に特定し、調査・対応工数を削減

さらに、Java・Python・PHP・Node.jsを含む複数言語環境のSBOM・脆弱性情報を統合的に管理できるため、ソフトウェアサプライチェーンリスクへの継続的なリスク管理を支援します。

Cloudbaseでは今後も、クラウド・オンプレミスを横断した統合的な資産・脆弱性管理を実現し、組織全体のセキュリティガバナンス強化に貢献します。