10月21日、世界中のウェブサイトで使われているプログラム言語「PHP」の重大な脆弱性に対する、修正版が公開されました。
報道では、悪用されると、外部から不正なプログラムを実行されるおそれがあるとされています。
当社では、保守管理をご契約いただいているお客様のサイトすべてで、10月22日に対策を行いました。
この記事では、何が起きたのか、そして当社が何をしたのかを、できるだけ分かりやすくまとめます。
1. 何が起きたのか
- 世界のウェブサイトの、およそ7割で使われているとされるPHPに、重大な脆弱性が見つかりました。
- PHPの開発側は、10月21日に修正版を公開しました(PHP 8.3 系の修正版は「8.3.36」)。
- 報道では、発見にはAIが大きな役割を果たしたこと、そしてサイト運営者に、速やかな更新が求められていることが伝えられています。
- 古いバージョンのPHP(たとえば 7.4 や 8.1 以前)は、公式の修正の対象外です。
2. なぜ、ホームページに関係があるのか
- WordPress をはじめ、多くのホームページが、PHPで動いています。
- お問い合わせフォームなど、サイトの機能を支える部分でも、PHPが使われています。
- PHPのバージョンが古いままだと、新しい脆弱性が見つかっても、修正されません。
3. 当社が行った対策(保守管理のお客様、全サイト・10月22日対応済み)
対策をしないと、どうなるのか
PHPやWordPressの脆弱性を放置すると、次のような被害につながるおそれがあります。
(一般に想定される被害であり、今回の脆弱性で実際に確認された被害ではありません。)
- サイトの乗っ取り:管理者の権限を奪われ、ページを勝手に書き換えられる。
- 顧客情報の漏えい:お問い合わせフォームの内容や、メールアドレスなどの個人情報が、盗まれる。
- 閲覧者への被害:サイトを見た人が、ウイルスに感染したり、偽のサイトに誘導されたりする。
- 迷惑メールの送信元に悪用される:メールが届かなくなったり、会社の信用が下がったりする。
- 信用の失墜と、復旧の負担:「危険なサイト」と表示されたり、お客様への謝罪・調査・復旧に、時間と費用がかかったりする。
今回の脆弱性は、認証なしで外部からプログラムを実行されるおそれがあるとされています。だからこそ、早めの対策が欠かせません。
当社が実際に行った7つの対策
- PHPを 8.3.36 に更新
修正版が公開された、最新の安全なバージョンです。 - WordPress を最新版に更新
- 各プラグインの更新と、動作確認
更新のあと、表示やお問い合わせフォームが、きちんと動くかを確認しました。 - ログイン保護の強化
ログイン画面に、自動入力を防ぐ認証(CAPTCHA)を追加しました。
ログインに連続して失敗すると、一時的に入れなくする制限を設けました。 - ログインの記録(ログ)の確認体制
誰が、いつ、どこから、ログインしようとしたかを、あとから確認できるようにしました。実際に、海外から不正にログインを試みるアクセスが、日常的に発生していることも確認しています。 - ユーザー情報が、外部から見えないように設定
登録しているユーザー名などが、外部から取得されないよう、設定しました。 - 古い設定・不要なものの整理
使っていないプラグインなどの、整理を進めています。
4. ご自身のサイトが心配な方へ
- まず、サーバーの管理画面で、PHPのバージョンを確認してみてください(例:Xserver なら「PHP Ver.切替」)。
- 7.4 以前、または 8.1 以前の場合は、更新を検討する時期です。
- サーバーの仕様で、新しいPHPに上げられない場合は、サーバーの変更や、移行の相談も必要になります。
- 自分で確認するのが難しいときは、制作会社や、サーバー会社に、ご相談ください。
5. 今回の学び
- 脆弱性は、見つかってから、短い期間で、広まることがあります。
- 「作って終わり」ではなく、継続して更新・確認する体制が、サイトを守ります。
- 当社では、今後も、保守管理のお客様のサイトを、定期的に点検していきます。