00:05
こんにちは、さかもです。この放送は、AIと一緒に一人でWeb制作の仕事を回している僕が、実際のやり方とやってみて考えたことを10分で話す番組です。
今日は、直近話題になっているPHPの脆弱性についてお話ししようかなと思っています。
結論としては、PHPに脆弱性があったんですけど、僕が使用している、関わっているサイトはほとんどレンタルサーバーだったので、サーバー会社の対応待ちという感じでした。
ただ、いろいろやるべきことがあったので、その辺の話と、今回起きた脆弱性の経緯はどういった内容だったのかというのをお話ししていきたいと思います。
まず何が起きたかなんですけど、PHPという言語に脆弱性がありました。
これは結構ワードプレスだったり、その他世界の7割くらいって言われてるんですけど、そのくらい多くのサイトを動かしているプログラム言語になります。
これについて、脆弱性が見つかって、本当は22日に公開する予定だったらしいんですけども、21日の0時頃に脆弱性の内容が漏れました。
ちなみに、脆弱性っていうのは、PHP側が自分たちで見つけたものらしいと認識しています。
それを修正すると、どこが修正されたかがバレてしまうので、それをハッカーが悪用して、最新版に対応できていないサイトを狙いに行くということで今騒がれていると僕は認識しています。
まず22日に公開する予定だったんですけど、21日に脆弱性の内容がネットに漏れてしまいました。
なので、ここのまま放っておくといろんなサイトがハッキングされるということで、公開が1日早まりましたという原因があります。
そのせいで国内でもネットショップのサイトだったり、ゲームだったり、いろんなサービスが緊急メンテナンスしていたと思います。
今回もこの脆弱性を見つけたのはAIと言われています。
03:00
最近はいろいろ情報漏洩だったり、AIの普及でいろいろサービスに支障が出ていますが、その一環かなと思っています。
21日、昨日の23時頃にPHPの新しいバージョンが公開されました。
新しいバージョンが今から挙げると、
PHP 8.5.12、8.4.27、8.3.36、8.2.35、これになっていれば大丈夫ということらしいです。
これになっていないと、
これはAIにまとめてもらった内容なんですけど、
ワードプレスとかログインしてなくても、外からサーバー上のプログラムを動かせるらしいです。
それがどのくらいやばいかというと、
深刻度みたいな点数、10点満点の点数がある基準でつけられるんですけど、
それが10点満点中9.2点ということでかなり高いです。
なので結構深刻という感じですね。
それが2件見つかっていて、
1件は読み上げると、メモリが足りなくなったときに中途半端なデータが残り、それを悪用されます。
2件目が、エラーで止まったときに前のアクセスの片付けが残り、次のアクセスで悪用されます。
ちょっと自分はあまりこの辺詳しくないので理解できないんですけど、
とにかく2件そういう問題があったというところですね。
これはワードプレス本体を更新しても直りません。
もうそもそものPHPという言語自体の問題なので、
PHPのバージョンをさっき上げたバージョンに直す必要があります。
古いPHP、8.1以前のものはもう公式のサポートが終わっているので、
そこはサポートされないんですけど、サーバー会社によってはそこもサポートしてくれるところもあるみたいです。
ちなみにXサーバーは対応してくれるそうです。
これを受けて僕がやったことは、
とりあえず昨日の11時から待機して待っていました。
ただ、Xサーバーがずっとメンテナンス中でログインできなかったり、
06:02
このハビングもかなり重くてなかなか進まない状況で、
こちらができることとしてはレンタルサーバーを使っている人であれば、
PHPのバージョンを上げるしかできないんですけど、
XサーバーもこのハビングもPHPのバージョンが選べるのが、
例えば8.3というところまでしか選択できないんですよ。
今回最新バージョンの安全って言われてるやつが8.3.36なんですよ。
例えば8.3.35だとそれは安全じゃないんですよ。
でも選べるのは8.3までで、
サーバー側が細かいマツビのところはバージョンアップしてくれるっていう感じなんですけど、
とりあえずこのハビングの人はログインできたので、
とりあえず8.2以上に上げておけば自動で変わるであろうという状況です。
ただXサーバーの人はログインすることはできないので、
古い人はそのまま、8.2以上になっていた人は自動で適用されるという感じですね。
自分も昨日待ってたんですけど、
XサーバーがXのポストで、
サポートされているバージョンは自動で適用すると発信があったので、
一旦僕は寝て、
今日ですね、早朝に起きて反映されているのを確認しました。
ただPHPのバージョンが古いサイトは、
サーバーにアクセスがまずできないので、
ちょっとこれはまだ対応できていませんが、
Xサーバーはこの辺も対応してくれると言っているので、
早めに対応してくれることを祈って待ちの状況になっています。
今回実際やってみて思ったことは、
レンタルサーバーだと、
やってくれるのはすごく助かるなと思いました。
正直PHPのバージョンをサーバー、レンタルサーバー以外で自分で管理していて、
バージョンアップしろって言われても自分は絶対できなかったので、
その辺はレンタルサーバーを使っていることの良さかなと思いました。
あとXサーバーは結構発信とかもしていて状況が分かりやすいし、
一番対応も早かったんじゃないかなと思っていて、やっぱりXサーバーは強いなと思いました。
KONOHAは、まずサーバーの管理画面にアクセスできるということがちょっと不安で、
09:02
Xサーバーはメンテナンス中だったり、他のサービスもメンテナンス中にしている中で、
KONOHAはログインできてしまっているというところでまず不安なのと、
あと未だにPHPの細かいマツビのところが更新されていないので、
早くやってくれないかなってちょっと不安ではありますが、
レンタルサーバー側の問題なのでこちらではどうもできないという感じですね。
やっぱりPHPのバージョンが古いままのサイトだと、
こういった時にそもそもサポートされていないので、
Xサーバーはたまたまサポートするって言っていたんですけども、
基本はサポートされないでしょうし、サポートされるにしても、
今回同様に後回しになってしまうと思います。
なので、やっぱり運用保守って結構大事だなと思っていて、
例えばこういったことをクライアントに伝えたとしても、
迷惑メールが来るだけでしょみたいな、
本当にそんなやる必要あるのとか、大げさじゃないとか言う人いるかもしれないんですけど、
あんまり状況が理解できずに。
ただやっぱりこういったのを見ていると、
定期的にバージョンアップをやった方がいいのかなとは思いました。
なのでまとめとすると、
10月21日にPHPの脆弱性が2件治されました。
その脆弱性の内容はログインなしで悪用される可能性があって、
ワードプレス自体の更新では治らないので、
PHP自体のアップデートをしましょうというところですね。
レンタルサーバーを使っている場合はサーバー会社の適用待ち、
Xサーバーは自動で適用してくれました。
このハウィングは基本待ちなんですけど、
ちょっと遅いというところですね。
現状まだ変わってません。
10月22日の10時20分、現在変わっていませんというところです。
ただ変に焦るよりも、
もう待つしかないって分かっていると割り切って、
あまり慌てずに待てるのかなと思います。
では今回はこんな感じで終わりたいと思います。
次回はAIで書いた文章のAIっぽさを消すコツの話です。
今日も聞いていただきありがとうございました。
