【お知らせ】PHPの脆弱性について、当社制作サイトは対応済みです

いつもお世話になっております。

最近、ニュースやセキュリティ関連のサイトで、PHPに見つかった脆弱性の話題を目にされた方もいらっしゃるかと思います。弊社でも情報を確認してすぐに社内で対応を始めました。そしてこのたび、弊社で制作・運用しているサイトについては、対応がすべて終わりましたのでお知らせします。

今回の脆弱性について

PHPは、世の中の多くのWebサイトで使われているプログラミング言語です。WordPressをはじめ、よく知られたCMSの多くもPHPで動いています。使われている範囲が広い分、脆弱性が見つかったときの影響も大きくなりがちです。

今回の件は脆弱性の概要。例:特定の条件下で、外部から不正なコードを実行されるおそれがあるなどというものです。公開されている情報によると、対策をしないまま運用を続けると、サイトの改ざんや、サーバー内の情報の流出につながる可能性があるとのことでした。

幸い、PHP側からすでに修正版が公開されています。そのため、きちんと更新さえすれば、必要以上に怖がる必要はありません。ただ、「更新さえすれば」という部分を、すべてのサイトで漏れなくやりきることが意外と大変です。

弊社で行った対応

まず、弊社が制作・管理しているサイトの一覧を洗い出しました。そして、それぞれのサイトがどのバージョンのPHPで動いているかを一件ずつ確認しています。サーバーの種類や契約時期によってバージョンがばらばらなので、ここは地道に手作業で進めました。

次に、修正版が出ているバージョンについては、サーバーのPHPを更新しました。そのままでは更新できないサイトもありました。古いバージョンのまま動いていたり、プログラムが新しい環境に対応していなかったりしたためです。こうしたサイトは、修正すべき箇所を直したうえで、新しい環境へ移しています。

更新後は、表示や動作に問題が出ていないかを確認しました。トップページが見えるかどうかだけでなく、お問い合わせフォームや会員ページ、決済まわりなど、サイトごとに大事な機能を実際に触って確かめています。更新で動かなくなる機能は意外と地味なところに隠れているので、ここは時間をかけました。

最後に、アクセスログや各ファイルの更新日時を見て、脆弱性が公開されてから対応が終わるまでの間に、不審なアクセスや改ざんの形跡がなかったかを調べました。【調査の結果、現時点で被害や不正アクセスの形跡は確認されておりません。】

対応が完了したのは10月21日です。

お客様にお願いしたいこと

弊社が制作・管理しているサイトについては、上記のとおり対応済みですので、特別な作業をしていただく必要はありません。ただ、次のような場合は念のため確認してみてください。

ご自身でサーバーを契約・管理されている場合は、そのサーバーのPHPが更新されているかどうか、一度確認してみてください。レンタルサーバーの管理画面でPHPのバージョンを選べるタイプなら、古いバージョンのままになっていることがあります。また、弊社以外が作ったサイトや、以前ご自身で作られたサイトをお持ちの場合も、同じ心配があります。

WordPressをお使いの場合は、本体だけでなくプラグインやテーマの更新も大切です。PHPが安全でも、プラグイン側の古さが原因で問題が起きることがあります。

もし「うちのサイトは対象なのか分からない」「自分で確認するのは不安」ということであれば、遠慮なくご連絡ください。状況を見て、必要な対応をご案内します。