00:01
ちょいさきトーク,あなたよりちょっと先歩いてきた人のWebと仕事の話。 この番組では、フリーランスでWeb制作をしている私、けいが、上司じゃないけど、ちょっと気軽に話ができる、隣の席の先輩などの立場で
Webと仕事について語ります。
さて、先週金曜日の配信でもお話をしたんですけれども、ここ1,2週間ですね、PHPの脆弱性報道がありまして、結構Web業界全体、ざわついたなという印象がありまして、
対応に追われたという方も結構いらっしゃるんじゃないかなと思います。 私もですね、やっぱりこのPHPを普段からガッツリ使っている立場の人間として、かなり影響は大きかったと思いますし、
私もWeb業界にまあまあ長くいますけども、その中でもトップクラスの大きな出来事だったのかなというふうに思っています。
なんせ、総理大臣がコメントを出すぐらいのことは、私の記憶の中でも直接関係することとしては、あんまり多分初めてかなというふうに感じています。
ですので、そのテクニカルな部分に関しては、いろいろな情報が出回っているものありますので、私がこの配信でお話しできることとしては、
一人のフリーランスウェブ制作者である私がですね、その脆弱性報道が出た当日、翌日、一体どんな体験を私はしたのかというところのリアルなところを共有して、何か皆さんの参考になる部分があればなというふうに思
います。
本当に何か慌ただしかったなというのが率直な感想です。 このですね、PHPの脆弱性の第一報に関しては、
これはXで私見ましたね。Xで見たよという方が結構多いのかなというふうには思うんですけども、
普段はですね、私最近全然日中SNSを見るっていう習慣ほとんどなくなってしまったので、
ちょっとうっかりすればキャッチアップが遅れた可能性もあったなというのは実は少し感じているところです。
この日、10月の21日、水曜日だったんですけども、たまたまですね、打ち合わせで移動する予定が入っておりまして、
その移動中にスマホの隙間時間でですね、たまたまXを見てその情報がバッと入ってきたと。
で、パッチの予告も日本時間の23時に出るよというのもですね、そこで結構午前中の段階で知ることができたので、
タイミングが良かったというと語弊があるかもしれないんですけども、
普段の私の行動からすればかなり早い段階でSNSから情報を得ることができたのかなというのは思っています。
ほんとたまたまだなというところですね。
その日はですね、打ち合わせがちょうど前回の配信でも話題に出ました、運営棟の森野さんの事務所に伺って打ち合わせをする予定だったので、
たまたま森野さんともこのPHPのこれどうすればいいのかっていう話がちらっと話題に出たんですよね。
03:06
その時はですね、私のクライアントさんとかやっているサイトのほとんどが共用のレンタルサーバーが中心なので、
で、パッチを当てるのは基本的にサーバー会社さんで、自分でこうサーバーにインストールPHPコマンド打ってしたりとかっていうことはまあありませんので、
基本サーバー会社の対応を待つ形で直接できることは限られているなというような認識で、そういうふうにお伝えをしたんですけれども。
その後ですね、Xでサービスを事前に停止しておくという会社だったりサイトがちらほら出てきたなというのがありました。
どうしてもパッチが出てから適用までの時間のそのタイムラグで攻撃を受けてしまうということもあり得るので、
その事前対策としてもうサービスを止めてしまうというサイトが結構出ましたので、
それを見てですね、あ、そっかパッチを待つだけじゃなくてサイトを止める判断もいるよなーっていうのも私もちょっと気づきまして、
そこであーやらないとなーって焦り始めるという気持ちは正直ありました。
特にですね、このサイトの止めるという判断が早かったのがですね、
子どもの預かりをする施設なんかでよく導入されている子どもんというアプリの開発元がかなり早い段階でサービス停止をしていたというのが話題になりました。
この子どもんっていうアプリはですね、保育園とか学童とかですね、その子どもの預かりをしている施設が入体室管理なんかでも使ってまして、
そのQRコードを端末にピッとすると、今誰々ちゃん入室しましたっていうのがですね、保護者のスマホにプッシュ通知が来て、
ちゃんとこう今いるなと。で、体室の時はですね、パタピッてすると、今体室しましたよっていうのがプッシュ通知がパッとくるというようなそういうサービスなんですけど、
これはあのうちの小学校の娘が通っているトワイライトっていう学校で預かりしてくれるやつでですね、この子どものサービス使ってまして、
この子どもが小学校の授業が終わった後、そのトワイライトのお部屋の方に移動して、QRコードをピッすると、
あのプッシュ通知が私の方にペンと来るっていうのがいつもなんですけど。で、いつもですね、5時間目の授業が終わった後の14時過ぎに入室通知が来て、
まぁいつも通り来たなと思ってたんですけど、その後ですね、15時前ぐらいだったと思うんですけど、あの体室通知が来たんですよ。
まだまだ迎えの時間でもなんでもないのにいきなり来て、あれなんで来たのかなぁと思って、たまたま間違えて体室のQRコードを読んじゃったら来ることもあるのかなぁと思って、
結構スルーしてたんですけど、その後ですね、そのXの方で情報を見てたら、子どもがサービスを早々に停止したよというのが出てて、
確かにアプリ見ても使えませんってなってたんですよね。で、それを見て、あ、だからもしかしたらここで体室の通知が出来たのかもなぁという風に、
ちょっと実際にどうかわかんないんですけど、そういうことがあったりとかしました。で、結構そのネット上で、ああだこうだとPHPやばいやばいみたいなのが情報としてワーッと流れている中で、
06:10
割と自分のプライベートで使っているサービスで影響が出たので、おお、いよいよなんか来たぞという真剣みを帯びてきたというか、そういう気持ちがありました。
で、その後ですね、予定していた打ち合わせを終えまして、自宅に帰りつつ子どもの迎えなんかに行くわけなんですけれども、その後はもう完全にお母さん業の方にシフトしますので、
ウェブの対応がもう夕方、夜、かなり難しくなりますね。ただですね、その、じゃあお客さんのサイトを止めた方がいいのかどうなのかっていうのを判断を迫られたときに、
関わるサイトって本当にたくさんありますし、全てを私一人で止めるというのはですね、しかももう子どもを迎えに行っちゃってるし、無理だなというのはですね、これはもう仕方ない、割り切りました。
さらに翌日はですね、あのギフで担当している講座の登壇の最終日があり、朝早いんですよね。準備の最終確認とかもしたかったんですけど、ここはもう仕方ないと。
で、子どもが寝静まるまではもう、ちょっとお母さん業に集中をして、ちょっとですね、寝静まった後少し夜更かしをして、10時過ぎぐらいからですね、日が変わるぐらいまでは、いろんなサイトの状況確認とか。
あともう明らかに、もう古いPHPで使ってないプログラムが放置されているものを取り下げたりとかですね。もう限られた時間の中で優先順位をつけてやることやったというような、そんな夜でした。
ここはですね、やるべきだと思うことはたくさんあるけれども、現実その一人フリーランスでやれることの限界というのをすごく感じましたね。
なのでここはもう複数人でやっているような制作会社とか、何人かで対応できるところのメリットってすごくあるなというのは思ったところです。
23時を迎えてですね、各使っているレンタルサーバー会社さんの対応状況をちくちく確認したりとか、あとはPHPのバージョンがチェックできる画面があるんですけど、そこが変わっているかどうかっていうのを
ですね、見て。
一通りお金をもらって保守をしているサイトでレンタルサーバー会社さんがアップデートをかけてくれたというところが確認ができたところで、最低限今夜はここまでかというのでキリをつけてその日は寝たというような
そんな夜でした。
忙しかったのは翌日以降ですね。翌朝も少しいつもよりも元々早く起きる予定だったんですけど、しっかり早く起きて状況を確認したりとかですね、夜のうちに連絡があった取引先とかには少し返答を入れたりとか、そうい
った対応をしてから朝講座に出かけていったんですけれども。
その講座に行った先でもですね、主催が岐阜県の県の方だったので、県の方でもその贅沢性報道を受けてですね、各やっているプロジェクトの方でPHP使っているものがあれば報告してくださいというのが来たんだ
09:13
けど、どうすればいいかっていうので質問をいただいてお答えしたりとかですね。
こんなところまで影響きてるなというのをとても感じました。たまたまその講座で使う予定だったツールがですね、その贅沢性の影響で止まってなくて本当に良かったなというのはすごく感じたんですけれども。
その後、講座が終わりまして名古屋に帰る道中もですね、いろんな連絡がチャットとかメールとかでいっぱい来てましたので、そこへの返信っていうのがものすごくやっぱり大変でしたね。
多くのクライアントさんとか取引先さんはですね、その報道で問題を知って問い合わせてくるので、ちょっとタイムラグがあって次の日翌日にこれどうなってますかっていうのの連絡がババッと来たという感じでした。
で、問い合わせが来た時点ではもうレンタルサーバー会社さんによるパッチ適用が完了しているケースが結構多かったので、ほとんどのお客さんに関しては今回の手作戦についてはサーバー会社で対応済みなのでひとまずご
安心くださいというのの説明をしつつですね。
ただし今回のパッチが適用されたことと古いバージョンのプログラムを使い続けていいこととはまた別問題なので、最近今回の件以外にも情報漏洩のニュースが毎日のように報道されているようにリスクはいつどんな形
でやってくるかわかりませんので、
本件のパッチは当たっているけどもその他のですねWordPress自体のアップデートとか他にいろんな使っているプログラムのアップデートとかそういったものも定期的にやっていくことはとても大事なので、しばらく
そういうアップデートが滞っているお客さんに関しては少し時間と予算をとっていただいてしっかり見直す対応するタイミングは設けた方がいいですよというようなことですね。
割ともうちょっとテンプレ的な感じになっちゃいましたけどいろんなところにお伝えしたというような結果となりました。
事後報告になったところが結構多かったですよね。
あとは保守でお金いただいてるいただいてないとか直接のお取引があるか代理店とか制作会社さんが挟まってるかによっても全然対応のパターンほどいろいろだったんですけども。
やっぱりですね一人で対応する限界ってあるなというのはめちゃくちゃ感じました。
ちょっと長くなって申し訳ないのでそろそろ今日の分のまとめに入りたいと思うんですけど。
今回ですねいろんなサイトのチェックとか対応して感じたところに一番大きなところを言いますと、
普段からアップデートが定期的にできている行き届いているサイトっていうのは今回のような緊急時の対応がめちゃくちゃスムーズだなというのはすごく思います。
慌ててアップデートする必要ないですし、普段から稼働状況を把握できているので、慌ててバタバタとなんかしないといけなくなった時でもですね、
ちょっとチェックするだけで大丈夫とかちょっと何か変えるだけで大丈夫というのでかなり楽だったなという印象です。
12:01
それが滞っているところPHPのバージョンやですねプラグインも古いまま使っているサイトももちろんあるので、
そういったところは影響の確認とかですぐには難しいなというところも正直多かったです。
ですのでできる限りですねやっぱり常日頃から言われているところですけれども、
できるだけ定期的なアップデートメンテナンスしておくということがこういう緊急時にも効果発揮するなというのは、
わざわざ今私が言うことではないかもしれないんですけども、結局そこだなという結論になりました。
これを今日のまとめとしたいなと思います。
次回はですね、今回の騒動の後編としてサーバー会社さんの対応、今回のような一斉に影響が出るような事案ですと、
各社の対応を横斜めで比較することができるというのが結構特徴的な出来事だったなというのを思いまして、
次回その話をしたいなと思います。
さてこれをお聞きくださっているリスナーの方はですね、今回のPHPの脆弱性の影響をどの程度ありましたでしょうか。
大変だったよという方、当日徹夜したよという方、もしいらっしゃればですね、大変だったよというコメントとかですね、
思ったことなど是非、ちょいさき特のハッシュタグとかおたよりフォーム、質問箱などからお寄せいただけると嬉しいです。
今日も最後までお聞きくださりありがとうございます。
それではまた金曜日にお会いしましょう。今週も頑張っていきましょう。
