PHP脆弱性騒動とレンタルサーバー各社の対応
ちょいさきトーク!あなたよりちょっと先を歩いてきた人のWebと仕事の話。 この番組では、フリーランスでWeb制作をしている私けいが、上司じゃないけど、ちょっと気軽に話ができる、隣の席の先輩のような立場
でWebと仕事について語ります。
さて、やっぱり11月になりますと急に冷え込んできたなという気がしています。 そうですね、10月の最終週ぐらいから、ついに私も上着をですね、引っ張り出してきまして。
今年はですね、去年とかに比べて割とちゃんと秋があったなという気はしているんですけど、いよいよですね、本当に晩週、そして冬に向かっていくなという感じがしております。
で、冷え込んでくるとですね、子供の服も割と悩むところでして、まあお兄ちゃんの方は自分で上着選んで着てくれるんでいいんですけど、
2歳もだいぶ過ぎ、もうすぐ3歳になろうとしているうちの息子はですね、なぜか上着を着たがらないと。これ着るって言っても着ないというのでですね、なかなか着せるもののセレクト難しいなと。
で、この上着の脱ぎ着で調整するというですね、技がなかなか使えず難しいなぁと思っています。
特にですね、今年は雨が多かったですよね。9月はずっと雨でしたし、10月もしばらくは天気良かったですけど、10月の終わりの方もまた雨が結構降ったりとかしましたので、
まあそういう時に傘とですね、あとカッパを着てほしいんですけど、カッパ全然着てくれないと。ただ長靴だけはですね、晴れの日も長靴履きたがるので、
晴れた日も長靴も面倒くさいんで、そのまま履かして保育園に行って、普通の靴も持って行って、「行ってきます!」って言って、子供と別れた後で靴入れ替えてですね、長靴の方は撤収して、普通の靴だけ置いていく
というようなことをやってるんですけど。
雨の日も傘、カッパ着ないとなるとですね、やっぱり風邪ひいちゃうんで、自分の傘になんとか入れて保育園に連れて行くというような感じだったんですけど、ちゃんとですね、傘、カッパ着てくれるといいなと。上着も
ちゃんと着てくれるといいなというふうに思っています。
Xサーバーなどの迅速な対応と情報発信
さて、今日のテーマなんですけれども、月曜日からの続きになりますね。10月の下旬に話題になりましたPHPの脆弱性について、月曜日の放送ではその当日翌日と一人でウェブ制作をやる立場として慌ただしかった2日
間を振り返ったという回だったんですけれども。
今回ですね、ほぼ全サイトに影響が出るような大きな話だったので、こんなこと今まであんまりなかったよなぁという気はしています。思ったこととして、レンタルサーバー会社さんの対応の差が今回かなり見えたなという
のは感じた方も多いんじゃないかなと思います。
特にですね、特定の会社にだけ発生する事案ではなくて、各社全部のレンタルサーバー会社に影響するような内容でしたので、複数のレンタルサーバー会社さんの各社の対応を等しく横並びで比較できるという大変珍しい機
会だったのかなというふうに感じています。
その対応を見てですね、私が思ったことなんかをここで振り返りたいなというふうに思います。特にですね、今回の対応について手際の良さというか手厚さが特に目立ったのがXサーバーさんだったかなというふうに思
っています。
これはですね、結構もういろんな方が認識されているところかなと思うんですけど、そもそもパッチの適応とかですね、その事前のクローズ、サービスのクローズとかの対応がめちゃくちゃ早かったなという印象もあります
し、PHPの古いバージョンへのパッチもですね、どこへの対応を実施をしましたというふうにアナウンスもされています。
Xとか公式サイトがかなりこまめに更新をされていまして、今どういう状況なのかというのをですね、とてもこちらで早くしやすかったなというのが思うところです。
自分がクライアントさんに説明する時も、公式のこの情報を引用して説明するということができましたので、ここはですね、前から使っているサービスではあるんですけど、Xサーバーさんを使っていて、今回良かったな
と思ったところです。
サービス停止の範囲と利用者への影響
もちろんですね、全ての対応満点という会社さんはどこにもいらっしゃらないと思いますし、今回で言うと事前にサービスを止めたことによって対策のためにログインをしたいのに入れないとか、状況確認でコンパネ見たい
けど見れないとかということもあったりしたので、なかなかその利用側として歯がゆい場面もあったにはあったんですけど、やっぱり対応状況の発信が手厚かったなというのは安心材料だったなと思います。
同様にですね、利用者さんが多いサーバーとして、さくらインターネットさんとか、あとはロリポップとかヘテムルなんかを提供しているGMOペパボさんなんかも今回は結構対応も早くて情報の発信もチャットしてくれて
いたなという印象がありますね。
ロリポップとかのですね、ペパボさんのサービスは最近私個人的には使う機会がかなり減っていって、自分の直のクライアントさんでは今ほとんど残っていなかったので、直接自分の保守案件で見に行くということはあまり
なかったんですけど、
それでもSNSとかですね、インターネット上で流れてくる情報なんかを見ていると、割と同じGMOグループ内でもですね、特にそのペパボさんの対応はちょっと際立ってたかなというのは思います。そこはグループ会社
でも結構違いがあったなというのは思うところですね。
この3社はですね、今回改めて評価が高くなったというよりかは、もともと私としては信頼を置いている会社さんではあったので、そこがさらに確認できたというようなニュアンスかなというふうに思います。
あと本当にいろんな会社さんでレンタルサーバー契約しているお客さんいるんですけれども、結構対応がいろいろだなというのが興味深かったです。
具体的なサービス名とか社名いちいち出さないですけど、例えばですね、パッチが公開されてから適用されるまでの攻撃リスクを避けるためサービスを提出するという会社さん結構多かったんですけど、コンパネだけ止め
るのか、利用者側のウェブサイト、ウェブサーバーも止めるのかっていうところのですね、対応が結構ばらけだなというふうに思っています。
利用者側のウェブサーバー自体を止めるっていう会社さんも結構ありまして、そういうところはですね、ちょっと私2社ぐらい把握はしてるんですけど、ドメインにアクセスした時にドメイン解決ができないっていう
状態になってったんですよね。
サーバー会社所定のエラーページが出るとかではなく、本当にそのドメインが執行した時にDNS解決ができなくて、ブラウザ標準のエラーが出るみたいなことあると思うんですけど、そういう画面になっていたので、
ちょっとなんかもう少し対策、時間と接続するタイミングがあればちゃんとメンテページぐらい用意したかったなというのを感じたりというのはありました。
その止まっている期間もですね、会社によって半日ぐらいだったり、丸1日プラスアルファぐらい止まってたサイトもあったりとかして、その辺も差があったりしましたね。
これセキュリティのために止めることと利用者側でできる余地を残すことのバランスって、これそれぞれのサーバー会社さんの判断になると思うんですけど、難しいなというのは感じます。
客層どういう利用者層が多いのかっていうのでも、個人が多いのか法人が多いのか、法人も割と堅いところが多いのかっていうのが結構それぞれだと思うので、そこで判断分かれたのかなというのは思うんですけども。
いやー結構その中の方、サーバー会社の中の方の判断の大変さも察して余りあるところかなというふうに思います。
もう私なんかが想像してわかるようなものではないんだろうなというのが感じたところです。
途中経過の見える化と緊急時の安心感
あとはですね、途中経過をどれぐらい見える化してるかっていうところがそれぞれ差が出たなと。
先ほどSNSでこまめに情報発信していたXサーバーさんの例もあればですね、SNSアカウントがあっても脆弱性報道に関しての情報がリアルタイムで出てこないという会社さんもあったり、
一番最後にまとめてバンと報告ページで出るという形だったところもありますし、その辺の差も結構見えたなと思います。
クライアントワークで使っているとなるとやっぱりその情報が、Xサーバーさんの情報が本当にリアルタイムである必要がどこまであるかというのは判断分かれると思うんですけど、
それでもある程度の粒度で発信してくれているとすごいありがたいなというのは感じたところですね。
なのでちゃんと対応してくれること、早く対応してくれることも価値ですし、対応状況が見えるようになっているということも価値だなというのはすごく思いました。
緊急時の安心感につながるなと。ただしSNSで発信していないから発信が行き届いていないとも言えなくて、
私は表からは見えないけど契約者の方には直接メールが行っているというケースもありますので、
それが二次受けである私のところに直接情報は来ないけれども、クライアントさんには直接行っているというケースも多いと思うので、
一概には情報発信はもしかしたらちゃんとされているかもしれないんですけど。
こういう契約者と実際にサポートで動く人間が違うケースというのも多いので、契約者だけではなくて表に見える形にしておいてくれるとありがたいなというのは思ったところではあります。
こういう特にサポートページに情報が出ているのを探しに行く時の探しやすさとか、
いろんな面で複数のレンタルサーバー会社さんの違いを知る一つのチャンスだったのかなというのは感じました。
もちろん今回の件を受けて各社いろいろさらなる対策や対応に対する改善とか入れてくると思うので、
今後もそういったところサービス選定の際に注目してみていくというのは利用者側として大事かなと思いました。
クラウド利用案件と管理リストの必要性
最後にレンタルサーバー、共用サーバーの話を中心に今回したんですけれども、
クライアントさんの中にはクラウドサーバーを使っているケース、SAKURAのクラウドとかAWSとかを使っているお客さんもありまして、
インフラ側のエンジニアがちゃんと対応しないといけないかたりするので、私自身が直接やる案件はなかったんですけど、
関連する案件、担当している施策会社さんの案件でそういうサーバーを使っているケースがありましたので、
状況確認をしたり、もともと予定していたリリースを少し早めたというケースもあったりしましたね。
こういった時にですね、自分が関わっているサイトを全部リスト化して、これはどこのサーバーで、
PHPのバージョンは何で、誰に連絡するのかというのがリストになっていると良かったなというのはすごい思ったところです。
ただ現実的には難しいなと。
一応リストはあるんですけど、リアルタイムで更新かかってたりとか、私じゃない人が対応して、
状況が変わってたりすることもあるので、ちょっとその辺のリストの補修にまあまあ個数をかけるのもどうかなというのもあって、
なかなか理想と現実は違うなというのを強く感じるところであるんですけど。
それでもですね、最低限補修をいただいていて、自分が責任を持たないといけない案件のリストはちゃんと作っておかないといけないなというのが、
私も思いましたし、まあそれはあるんですけど、そのメンテも大事だなというのも今回の騒動で思ったところです。
有事の対応をサービス選定に生かす
ちょっと話がそれたので、最後今日のまとめに戻りますけれども、今回のPHPの脆弱性報道によって、
普段は見えないレンタルサーバーさんの対応を横並びで比較するという、なかなか貴重な機会だったかなというふうに思います。
ここで私がどのサーバー会社さんが良かったというのをですね、評価をするのがこの配信の目的ではないので、
そのあたりは皆さんが独自で判断していただきたいところではあるんですけれども、
サービスを選定したりクライアントさんに勧める時にこういう有事の時にどうだったかっていう対応がですね、
今後サービス選定に大きく関わってくるところだなと思うので、
今回各社どういう対応だったのかっていうのを改めてチェックしておくというのは大事なところかなと思いました。
これをまとめにしたいなと思います。
リスナーへの問いかけと番組案内
さて、これをお聞きくださっているリスナーの方はですね、
契約されているレンタルサーバー会社さんの対応に満足されていますでしょうか?
ちょっとこういうところがもっとこうだったなとか、いろいろそれぞれ思うところがあると思うんですけれども、
もし何か伝えたいことがありましたら、ちょいさきトークのハッシュタグとかおたよりフォームや質問箱からお寄せいただけると嬉しいです。
今週も最後までお聞きくださりありがとうございます。
この番組は毎週月曜日と金曜日の朝7時に更新。
YouTube、Spotify、Apple、Amazon、スタンドエフェルム、リッスンのうちお好きなアプリでフォローをお願いいたします。
それではまた来週。良い週末をお過ごしください。
