PHPの脆弱性問題。
世間を騒がせている昨今の不正アクセス問題の中でも、多くのWebサイト運営者に衝撃を与えた出来事のひとつではないだろうか。
Xでは「WordPress終わった」論が巻き起こり、放置していたWordPressブログを削除した旨を報告するポストも相次いだ。
今回は、結局このPHPとは一体どんなものだったのか。
そしてこのPHPの脆弱性がここまで大きな問題になったうえで、WordPressでブログ運営を続けていくことは安全なのか、考えてみたい。
私と同じようにWordPressでブログを運営している方や、「ブログを始めてみようかな」と考えている方の参考になれば幸いだ。
PHPとは｜Webサイトを支えるプログラミング言語
今回騒動になったPHPとは、1995年にThe PHP Groupが開発したオープンソースの汎用プログラミング言語およびその公式の処理系である。
……何を言っているんだろうか？( ﾟДﾟ)
その感覚は、私自身持っているので安心してほしい。
気を取り直して、PHPとは、簡単に言うと「Webサイトを動かすための裏方プログラム」である。
通常、読者が私のブログを開いた時、
- サーバーがリクエストを受け取る
- PHPが動く
- 記事データを取り出す
- ページを組み立てる
- 読者に表示する
こういう動きが裏方で行われている。
この一連の処理を担っているのがPHPというプログラミング言語である。
このPHPの活躍は、個人ブログだけでなく、様々な企業サイトにも組み込まれているものであり、現在も多くのWebサイトで利用されている。
そう、PHPが突然使えなくなれば、今のインターネットは大混乱に陥るだろう笑
それくらい、インターネットという世界で重要なプログラムがPHPなのだ。
今回そのPHPに、重大なセキュリティ上の脆弱性が見つかり、ネット界隈ではパニックが起こったのである。
今回見つかったPHPの脆弱性とは｜乗っ取りの可能性
今回世間をざわつかせた脆弱性は、サイトを乗っ取られる可能性のある脆弱性だった。
脆弱性とは、様々なシステムに存在する「穴」のようなものだ。
今回PHPに見つかった穴は
攻撃者が細工したWebリクエストを送るだけで、サーバーの中で勝手にプログラムを実行できてしまう可能性があるというものだった。
しかもこの攻撃は、ログイン認証を回避したうえで遠隔から実行できる可能性があった。
私のブログで考えてみよう。
仮にこのブログが、PHPの脆弱性を悪用した攻撃を受けたとする。
- 攻撃者はブログの記事に、こっそり詐欺サイトへのリンクを仕込む
- ブログの訪問者が気づかずにリンクを踏む
- ブログが危険なサイトとして認識される
こうした問題が起こる。
サイトを改ざんされた私はと言うと、自分のせいではないにもかかわらず危険なサイトを運営していることになり、読者からもGoogleからも信用を失うのだ笑
ブロガーでなければ関係のない話に感じるかもしれない。
しかし、今回問題になったのは、こうした被害が企業サイトでも起こりえたことだ。
私個人であれば、被害は小さく済むかもしれないが、企業サイトが危険なサイト化してしまっては、経営問題になり得る。
（ブログを運営している身からすると、被害規模に関わらず笑い事ではない。）
WordPressは危険なのか？｜そうとは言えない理由
こうやってPHPの脆弱性問題を紐解いていくと、「ブログ運営って危険なのでは？」と感じたユーザーもいただろう。
世界では多くのサイトがWordPressというサイト運営ツールを使って作られている。
このブログも、もちろんWordPressを利用している。
WordPressとは、単なるブログツールではなく、企業サイトやネットショップ、メディアサイトなど、幅広い用途で使用可能なコンテンツ管理ツールだ。
Webサイトを開設しようとすると、昔は自分でコードを書いてWebサイトを構築する必要があり、素人には難しい作業だった。
しかしこのWordPressを使うと、私のような一般人にもブログやサイトが作れてしまうし、その管理が非常に簡単にできる。
多くのブロガーがWordPressを使ってブログ運営をしている現代で、その開発にPHPが使われているとなると、「PHPの脆弱性＝WordPressも危ない」という認識になってもおかしくはない。
しかし、実際の問題はもっと複雑である。
脆弱性はどんなシステムにも存在する｜修正するかが鍵
脆弱性とは、先述した通り、システムの「穴」のようなものだが、この穴は、どんなシステムにも存在する。
人間が不完全である以上、穴のないシステムは作りようがないのだ。
問題は、この脆弱性という穴が見つかってから、どれだけ早く修正パッチでふさぐことができるのか。
AIによってさまざまなシステムの脆弱性が自動探索できるようになった今、本当に危険なのは「脆弱性に気づかず放置すること」に変わりつつある。
開発チームがいち早く修正パッチを発表したのであれば、サーバー会社はその修正パッチを迅速に充てる作業を進めなければならない。
利用者側も、WordPressやプラグインを定期的に更新し、修正内容を取り込む必要がある。
今回の騒動で、「放置していたブログを削除した」というポストが多かったのは、不安を煽る結果にはなったけれど対応としては正解だったのだろう。
放置しているプラグイン、放置しているWebサイト。
こうしたものが、今回狙われる可能性は十分に高かった。
WordPressはあくまでソフト｜重視すべきはサーバーの対応
今回調べていくと、WordPressはあくまでサイト運営用のソフトであることが分かる。
もちろんWordPress自体のアップデートや、プラグインのアップデートは常に行っておく必要があるが、今回の騒動でもっと重視しなければならなかったのは、自分が利用しているサーバーの対応である。
WordPressでブログを運営するためには、Web上に住所を持つ必要がある。
この住所を持つためには、「ドメイン」を取得する必要があり、その時活用するのがレンタルサーバーだ。
レンタルサーバー側で、PHPが発表した修正パッチをどのくらいの早さで適用してくれるのか。
今回見るべきはそこだったように思う。
今回の修正パッチ公開に先立って、多くのサーバー企業が早急に緊急メンテナンスを執り行い、その報告をしっかりと行っている印象だった。
私が使っているレンタルサーバーも、次の日～1週間程度、メンテナンスやアップデートを頻繁に行い、逐一通知を出してくれていた。
一般ネットユーザーは、「システムメンテナンスばっかりでサイトを開けなくて不便だな」と感じる場面が多かったと思うが、過ぎてみれば現在は通常通り利用できているサイトがほとんどではないだろうか。
ということは、少なくとも今回の問題については、サイト運営者やサーバー会社が適切に対応していた可能性が高いと言えるだろう。
SNSには誤情報も多い｜踊らされないことが大事
今回WordPress下げが白熱していたのは、主にX上での話だ。
私自身も情報収集のためにSNSを追っていたが、
「ネットにアクセスしない方がいい」
「インターネット終了」
といった真偽不明の情報も少なくなかった。
SNSは時に、最も早く情報が集まる場所でもある。
一方で、その中には不安を煽る情報や、注目を集めることだけを目的とした投稿が混じることもある。
今回私も複数の情報源を確認しながら調べてみたが、少なくとも一般ユーザーがパニックになるような状況ではないという結論に至った。
様々な情報が飛び交う現代で、一番のサイバーセキュリティは、SNSの情報を鵜呑みにせず、自分で確認する姿勢なのかもしれない。
結論｜WordPressは特別危険ではない
今回の騒動で私自身もかなり不安になったが、調べてみると「WordPressだから危険」という話ではなかった。
むしろ大事なのは、サーバー会社や開発チームが迅速に対応してくれること。
そして利用者側もアップデートを怠らないことだろう。
当ブログも、これからも安全なサイト運営を心がけながら更新を続けていきたい。
おまけ｜オタクの味方pixivは対応が早かった
私も別なクリエイター活動で利用しているpixiv。
オタクの味方と名高いこのpixivは、かなり早い段階で緊急メンテナンスに着手し、Xで情報が錯綜している中でも迅速に対応を進めていた笑
普段から利用しているサービスだからこそ、こうした場面で運営の対応力を見る機会にもなる。
今回の件では、情報発信も含めて非常に頼もしく感じた。
漫画やイラストに興味のある方はもちろんだが、今回の対応を見て、運営体制という意味でも信頼できる企業だと改めて感じた。
今回尽力してくださったエンジニアの方々を始め、サーバー会社や、こうしたセキュリティ意識の高い企業の皆様は、これからも日本のデジタル社会をけん引していってほしいと思っている。
感謝である。
PHPの脆弱性問題はニュース雑談ポッドキャストでも取り上げています。
コメント