PHPに重大な脆弱性が発覚！WordPressブログ運営者が確認すべきセキュリティ対策

こんにちは、Nです。

今回は、PHPの重大な脆弱性について解説します。

「PHPって何？」「自分には関係ない話では？」と思う方もいるかもしれません。

僕も関係ないと思っていました。しかし、とある記事で、ブログ= PHPと言うことを知って、めちゃくちゃ僕に関係あるじゃんと思いました。そこで急遽AIに聞き、自分のブログ環境を確認しました。

すると、PHPのバージョンが「8.1.34」になっていることが分かりました。

焦りましたねぇ(笑)。

ブログは記事を書いて公開すれば終わり、というわけではありません。安全に運営するためには、裏側の管理も必要です。

今回は、PHPの脆弱性とは何か、一般のインターネット利用者にも関係があるのか、そしてブログ運営者が確認すべきことを紹介します。

PHPの脆弱性とは何が問題なのか
普通にインターネットを使っている人にできることはある？
私のブログもPHPのバージョンを確認してみた
WordPressを更新していれば安心なのか
PHPのバージョンを確認する方法
100％安全なサイトはない。だからこそ管理が必要
参考情報

PHPの脆弱性とは何が問題なのか

まず、PHPとは何でしょうか。

PHPは、Webサイトを動かすために使われるプログラミング言語のひとつです。WordPressもPHPを利用して動いています。

つまり、WordPressでブログを運営している方にとって、PHPは無関係なものではありません。

今回、PHPに重大なセキュリティ上の問題が見つかりました。

元の情報では、脆弱性の深刻度はCVSS v4.0で9.2とされています。10点満点に近い、非常に深刻な評価です。

問題によっては、攻撃者がサーバー上で任意のコードを実行できる可能性があります。簡単にいえば、Webサイトを動かしているサーバーが攻撃に悪用されるおそれがあるということです。

もちろん、PHPを使っているサイトがすべて攻撃されたわけではありません。

しかし、セキュリティ上の問題が見つかった以上、必要な対策を確認することが大切です。

※ ちなみに、ウェブサイトの7割はPHPを使っているそうです。

普通にインターネットを使っている人にできることはある？

ここは、インターネットを利用する側と、Webサイトを運営する側に分けて考える必要があります。

普段、スマートフォンでWebサイトを見たり、ネットショッピングをしたりするだけの方が、自分のスマートフォンのPHPを更新する必要は基本的にありません。

今回の問題は、主にWebサイトを動かしているサーバー側に関係するものだからです。

一方で、自分でWordPressブログを運営している方は話が変わります。

自分のブログがどのような環境で動いているのか、PHPのバージョンが古くなっていないかを確認する必要があります。

レンタルサーバーを契約していても、すべての設定が自動的に最新の状態になるとは限りません。

サーバー会社が対応している場合もありますが、自分の環境がどうなっているか分からない場合は、一度確認しておくと安心です。

ホームページの管理を制作会社に任せている方も同様です。

「今回のPHPの脆弱性について、うちのサイトは対応済みでしょうか？」

このように問い合わせておけば、対応状況を確認できます。

サイトを作ってもらったことと、その後も安全に管理してもらえることは別です。

私のブログもPHPのバージョンを確認してみた

私も、自分のブログ「N」のPHPバージョンを確認してみました。

すると、表示されていたのは「PHP 8.1.34」でした。

もう衝撃でした。それこそ、僕もサイバーテロにあったなと思いました。(笑) (真剣に)

PHP 8.1系は、通常のセキュリティサポートがすでに終了しています。

つまり、古いバージョンをそのまま使い続けるのは避けたい状態です。

ただし、PHPのバージョンだけで、今回の脆弱性の影響を受けるかどうかや、すでに攻撃されたかどうかまで断定することはできません。

それでも、サポートが終了したバージョンを使い続ける理由はありません。

そこで、私が利用しているエックスサーバーの管理画面から、PHPのバージョンを確認し、新しいバージョンへ切り替えられるか調べることにしました。

ここで注意したいのが、WordPress本体の更新とPHPの更新は別だということです。

WordPressを最新の状態にしても、サーバーで動いているPHPまで自動的に新しくなるとは限りません。

WordPressを更新していれば安心なのか

WordPressの管理画面に「最新バージョンを使っています」と表示されていれば、WordPress本体は更新されています。

しかし、それだけですべて安心というわけではありません。

PHPのほかにも、テーマやプラグインの更新状況を確認する必要があります。

確認しておきたい項目は、次の4つです。

PHP： サポートが継続しているバージョンを利用しているか
WordPress本体： セキュリティ更新が適用されているか
テーマ： 最新版になっているか
プラグイン： 不要なものを削除し、利用中のものを更新しているか

ひとつだけ対策して終わりではありません。Webサイト全体を管理することが大切です。

PHPのバージョンを確認する方法

WordPressの管理画面から確認できます。

WordPressの管理画面を開きます。
「ツール」から「サイトヘルス」を選びます。
「情報」を開きます。
「サーバー」の項目を開きます。
「PHPバージョン」を確認します。

※　これみんな確認したほうがいいです。ニュースを見て、僕は自分のブログがサイバーテロにあったかと心配で、心配で仕事に身が入りませんでした。

レンタルサーバーの管理画面から確認できる場合もあります。

私が利用しているエックスサーバーでは、サーバーパネルの「PHP Ver.切替」から、対象ドメインの設定を確認できます。

ただし、PHPのバージョンは、すぐに変更すればよいというものでもありません。

変更前にバックアップを取り、WordPress本体やテーマ、プラグインとの互換性を確認することが大切です。変更後は、ブログの表示や管理画面が正常に動くかも確認しましょう。

100％安全なサイトはない。だからこそ管理が必要

今回のニュースで改めて感じたのは、Webサイトは一度作ればずっと安全というわけではないことです。

どれだけ有名なサービスでも、セキュリティ上の問題が見つかる可能性はあります。

大切なのは、問題が見つかったときに情報を確認し、必要な修正を適用することです。

ブログを運営している方にとって、記事を書くことだけでなく、サイトを安全に保つことも仕事の一部です。

私も今回、自分のブログのPHPが古い状態だったことに気づきました。

同じようにWordPressを使っている方は、一度ご自身のPHPバージョンを確認してみてください。

ブログは、公開したら終わりではありません。読者に安心して読んでもらうためにも、裏側の管理を忘れないようにしたいものです。

サイバーテロにあったからといって、特に僕のブログでは何か被害にあると言った事はありません。

しかし、このブログが、第三者の悪人の手によって、勝手にブログを作られて、無関係者に嫌な思いをさせたら、それは良くないことです。僕が書いた生地か第三者の悪人が書いたかは、実際に嫌な思いをした人からしたらどっちでもいいことです。であればできればサイバーテロに合わないように嫌な思いをする人が1人でも減るように対策をしていっていきたいと思います。