10月21日のPHP脆弱性と影響
皆さんこんにちは。Web周りの手助けをしています。 手助く代表のToshi Seitoです。
ひとりビジネスのためのWeb戦略研究室は、個人事業主やフリーランスに役立つWeb周りの話から集客に関する話まで、実体験をもとに皆さんと一緒に考え学んでいく番組です。
今回は、PHPの脆弱性対策は何をするのが正解だったかについてお話ししていこうと思います。
日本時間で10月21日のお昼にPHPの緊急性の高い脆弱性が見つかったことによって、ニュースにもなるくらい大事になったのですが、
Wordpressの運営者としてこの時どうするべきだったかお話ししたいと思います。
ということで、今回は先日あったPHP脆弱性についてのお話ですね。
背景で言うと、10月21日のお昼にPHPの緊急性の高い脆弱性、セキュリティホールが見つかったことで大詐欺になりましたね。
PHP2shellと言うんですかね。PHPで作成されたウェブサービスとか、Wordpressも含めてですけど、ログイン認証が必要なサービスに対して、認証なしで管理者として入れてしまうみたいな、そういう
バグですね。脆弱性が見つかったという話です。
すごいのは、そのお昼に出て、その日の日本時間の夜の11時には修正パッチが出てて、それがもう夜中に出たので、それを元にパッチを当てるという作業をレンタルサーバーさんだったら、ホスティング会社がすぐに対応
して、早いところであれば確かもう夜中の2時くらいには対応完了みたいになってた気がするんですよね。
すごいですよね。もちろんそれは後でちょっとしゃべるんですけど、レンタルサーバーだけじゃなくて、例えば自社サーバーって言うんですかね。Amazonとか使っていたりとか、クラウド系のサーバーとか、VPS
とか、自分でサーバーを立てて自社サービスを運営されている方は、誰もやってくれないから自分がやらなきゃいけなくて、自社でやらなきゃいけないので、そのPHPのバージョンアップをしなきゃいけないみたいな。
まあそういうことで、少なからずそういうことを、私も実は対応してたんですけど、一部のお客さんでそういうのがあったので対応したんですけど、ウェブサービスを運営している側の人たちはかなり大変だったんじゃない
かなとね、夜中どうしで対応されてたんじゃないかなというところで、本当にお疲れ様でしたという感じなんですけど、そういうことがあったわけですね。
私の、幸いにしてですけど、私のクライアントさんですかね、私が補修管理をしているお客さんに関しては、特に何かこう、良くなかったというか、情報漏洩とか、攻撃が仕掛けられたみたいなね、そういうやつは基本的に
見つからなかった、改ざんとか、そういうのはなかったので良かったなと思ってます。
あとは直近で対応してたお客さんも一応その時はサービスでやったりしたんですけど、まあ自分の場合ではそういうことがね、被害ですかね、被害みたいなのはなくて本当に良かったなという感じです。
一方でね、Xとか見てるとやっぱり被害に遭われた方もいるみたいで、ちょっと大変だなと思うんですけど、まあでもこれはその、なんていうんですかね、対応を知らなければそうなっちゃうって感じですね、単純にね。
人によってはですけど、ワードプレスを運営されている方で、この事件のことを知っても知らなくてもって感じですけど、まあそのまま運営して、結局何もなんないで終わったって方も別に結構いるんじゃないかなって、
まあ結構そっちの方が多いのかな、わかんないんですけど、結局何も知らないでいつの間にかなんか事件があったけど、何もならずに終わったって方も多分多かったと思いますけどね。
まあでも不運にも対策できなくて、被害に遭われた方もいるのかなとは思ってます。
WordPressサイトを止める方法
今回はワードプレスの話を基本的にこのポッドキャストではしているので、ワードプレスを使っている方がね、また同じようなことってこれありますよね。何回も言っていただいたけど、ワードプレスを使っている以上、認
証して管理画面に入るという行為をしている以上、やっぱりこういうことはこれからも起きるので、どういうことを振り返ってみて、どういうことをすべきだったかってことをお話ししたいなと思います。
先に結論を喋ってしまうと、サービスを止めるのが正解ですね。当日も早いところなんかは有名なサービスとかなんかをさっさと止めちゃって、メンテナンス中ですみたいな感じにして、サービスを止めている会社さんも結
構いいだと思います。
次の日でもメンテナンス、アップデートするって言っても、PHPをアップデートするっていうのは意外と大変だったりするんですよね。アップデートして終わりで済めばそれでいいんですけど、結局試験とかしなきゃいけ
ないんですよね、サービスの場合ね。一通りの試験しなきゃいけないし、あとスキャンとかもしなきゃいけないというか、いろいろあると思うんで、そこらへんは簡単じゃないんですけど、
一般的に止めるっていうのが最優先ですね。サービスを止める。わかった段階でサービスを止める。
ワードプレスで止めるってどうするのって話だと思うんですけど、今私メンテナンスっていう言い方したから、プラグインでメンテナンス画面を出すみたいなプラグインもあるんですけど、そのメンテナンスではない
ですね。
サーバーのPHPを動かす前でブロックするって感じですね。ブロックというか、別なところに飛ばしてPHPに一切アクセスさせないっていうのが正解ですかね。
プラグインのメンテナンスモードにしても意味ないです。あれは意味ないんで、今回の根本的な体制ではならないという感じで。
ではどういうことをすればいいかという話なんですけど、これは技術的な話なので言葉で話してもさっぱりとは絶対わからないので、言葉ではしゃべりますけど、その詳細に関してはエピソード概要欄に記事にしておく
ので、それを見てほしいなと思います。
.htaccessでPHPを動かさず遮断する
言葉でざっくりしゃべると、自分のドメインのサイトにアクセスが来た時に.htaccessというファイルがあってですね。.htaccessというのは何をしているかというと、サーバーのアクセスが来た時に振る
舞いを決めてるんですけど、
その中に例えばワードプレスだったらindex.phpにアクセスしてねみたいなね。それなんかそういうどこがルートですよとサイトのルートですよとかね。いろんな指示が書いてるやつがあるんですよ。
で、そのファイルに先頭にメンテナンスページに飛ばすっていう命令を書くわけですよ。そうするとワードプレスにアクセスする前にその命令ここに飛べここのファイルを開いてみたいな命令を書くことによってphpに一
切アクセスせずに止まると。
でそのままここのファイルを読んでっていうやつにメンテナンス.htmlとかね。htmlファイルを作ってその中には現在メンテナンス中です。ご迷惑おかけしていますがみたいな感じでそういうファイルを作ってとに
かくメンテナンスページにhtmlページに強制的に飛ばすと。
どんなアクセスがあっても絶対そこに飛ばすってことにすれば一切phpを動かすことなく一時的なブロックができるということですね。
でさっき言った通りこの例えばその前回の場合21日だったかなにそういう噂があるとニュースがあっているともし知った場合にはもう止めると。
そういうファイルを作ってだからそのサーバーに直接やっぱり自分でアクセスしなきゃいけないので例えばホスティングのファイルマネージャーとかに入って今言った.htaccessにおまじないみたいなの書いてファ
イルも作らなきゃいけない。
そこがハードルが高めですよね結構もうエンジニア寄りの作業なんでこれがそもそも難しくてできないっていう場合はもうやっぱり誰かにお願いするしかないし
AI使って自分で何とかするんだって人は頑張ってやるしかないかなっていう気がしてるんですけど。
いずれそういうファイルを作るとでニュースが来たらそれをオンにしてもうとにかくphpを動かさないにします。
パッチ適用後の復旧
でその日の夜中11時にパッチがあの修正パッチが来ました。実は数分前ぐらいに確かもう公開されてたんですけどね50何分とかに。
でそれを受け取ったホスティングですね例えば何でもいいですよXサーバーでも朝倉に誰でもいいんですけどそういうホスティング会社が
教養レンタルサーバーって言って同じのみんな使ってるからそこの裏側でアップデートをやってくれるわけですよねそのホスティング会社がやってくれてて
でそれが終わったのが確か2時とか3時とか言ったんですけどその日はもう諦めて次の日まで待って問題なくアップデート終わってますよって方向が来たら
さっき言ったメンテナンスページに飛ばすっていうね.htaccessに書いていた命令をコメントアウトしてで通常のページにアクセスすると
まあそれだけでOKって感じですねなんつったってレンタルサーバー屋さんが全部やってくれてるんでアップデートわざわざ自分たちで何か
アップデートしなきゃいけないことはなくてあのやってくれてるのでまあそれでOKって感じですね
まあだからそれができてる人はある意味今回の脆弱性対策に関しては完璧ですね完璧と言えると思いますはいという感じでそれがまああのなんだろう
やれること当日もし振り返ってやるんであれば自分でメンテナンスページを作ってメンテナンスページに飛ばして次の日の朝に
もう修正が終わったからそれが修正パッチ当たったからそれを分かって直すっていうか元に戻すってことをすればOKってことですね
まあなかなかでもこれはやっぱりエンジニアさんとかでハードル高いんじゃないかなという気はしてるんですけど
情報収集と保守体制の重要性
まあでもこれが正解ということですはいであのそのさっき私保守とかやってるからそれはもちろんね修正パッチとか
当てた後に動かすとかチェックとかもちろんしてたんですけどこれあのそもそも論から言うとなんですけどこのニュースに結構
いち早く気づけたかっていうのも結構大事だよねとは思うんですよあの私は仕事が一応情報処置やっぱりしてるので
もう結構すぐこの脆弱性のニュースがパンとすぐXで見たんですよね
これすごいことになったぞみたいな感じになってて大騒ぎですねエンジニア界隈というかウェブエンジニアかなウェブ界隈はすごい
もう大騒ぎしてるわけですよだけどそれ気づかない人って当然いるわけですよね
要はそういうあの人をフォローしてない限りどれだけすごいことが起きてるかっていうのはわからないわけで
なのでそういう意味ではそのこういうそのエンジニアとしてねまあこれを機に私のフォローしてもらってもいいんですけど
あのエンジニアの方のあの発信でやっぱ見てるのは結構大事かなって思うし
あの保守のあのこう保守をねあの契約されているお客さんなんかそうなんですけどそこが結構メリットなのかなって気がしてます
保守っていうのはその自分でね保守を自分でやられる方も確かにいらっしゃるたくさんいらっしゃると思うんですけど
あの情報だけはやっぱりねその自分の仕事と全然違う範囲から取っていくって大変じゃないですか
だからこういうのをそもそもねあの知らなかったら対策もできないって話ですよね
次の日の朝にニュースになってる段階ではパッチ当たっても終わってるんで
さっきの通り何も対策しないで結局何もなくてよかったねって人も多いと思うんですけど
あのね結局何もできないまま終わってしまったっていう人は多いと思うんで
そこらへんはやっぱりその情報とか取りに行くのがやっぱ大変な人も多いから
保守ってなんかちょっと意味があるかなって気はしてますなんかねあの勝手にやってくれてるというか
大事があるのでこっちでサービス止めますね一時的に止めますねみたいな
あのことを言ってくれるようなねあの技術者が近くにいるといいんじゃないかなって
そういう意味では保守って結構大事だよねって思ったりしますよね
ちょっとポジショントークっぽいんですけど
まあでもそこらへんに気づくってのは難しいと思いますよねそのエンジニアさんじゃないと
っていう感じですかねということで私さっきXでもいいんですけども
Xなりサブスタックとかも色々やってるのでフォローしてほしいなという風に思ったりしてます
そもそもこの情報に気づくってのが大事ですねということですよね
であと私そのたまに定義開催でワードプレスの保守運用会っていう勉強会をやってるんですよね
でそれちょっとまあ月2回のつもりだったんですけど一旦ちょっと延期というか
11月にちょっとまあ今月か今月にちょっともう1回やるんですけど
ちょっと月1回ぐらいのペースになりそうなんですけどそういった勉強会も
ちょこちょこやってるのでそこでちょっとねAIを使ってなんとか自分で保守をするみたいな
テーマでやっているのでよかったら興味ある人は参加してほしいなって思ったりしてます
ということで今回は以上になります
今回はPHPの脆弱性対策は何をするのが正解だったかについて話してきましたがいかがでしたでしょうか
自分で運用をやるならいつでも何かあった場合にメンテナンスできるように準備しておくのがまず一つのポイント
二つ目のポイントとしてはワードプレスに関して発信している人の情報はなるべくフォローしておきましょうというのが大事なことなのかなと思ったりしてます
この番組ではご意見ご感想を取り上げてほしいテーマご質問やご相談を募集しています
番組詳細の欄のリンクからお気軽にお送りください
いただいた内容は個人情報に配慮した上で番組内で取り上げさせていただくことがあります
また番組を一人でも多くの方に知ってもらうために番組が参考になった方はフォローや高評価をお願いします
それではまたお会いしましょうお相手はテザスク代表として伊藤でした
