こんにちは。
元美術教師のうさぎ先生です。
「PHPの脆弱性が発覚した」と話題になった10月21日、わたしは親族の弔事で家族と共に義実家に帰省中でした。
子どもを連れての帰省でしたしそもそもの目的が弔事ですし、PCを持って行っても触る時間もないだろうから…と置いて行ったのです。MacBookを。
だってまさか、あんな事態になるとは思ってもみませんでしたから；；
10月20日：UpdraftPlusの自動更新メールが届く
これ自体はPHPとは直接関係はないのですが、このメールのおかげでスキマ時間にTwitterをチェックするようになり、結果として翌日のPHPの異変に早めに気付けることになります。
10月20日の朝、「UpdraftPlus」が自動更新されたというメールが届きました。(メールはiPhoneから見れる状態でした)
「UpdraftPlus」はWordPressユーザーの多くが利用しているバックアップ等ができるプラグインで、わたしも長らく利用しています。
ところがこれ、自動更新の設定にはしていなかったはずのプラグインなのですよね…これは嫌な予感。
Twitterを見てみると、無料版ユーザーで単にバックアップのために使用しているだけならほぼ問題ないとのツイート多数。
どうやら有料版のユーザーで「TeamUpdraft」のアカウントを所持している人が対処の対象だったようです。
わたしは無料版ユーザーに該当しますしバージョンの自動更新も終えているようなので、とりあえず大丈夫そう…？と思っていたら、夜には再び自動更新が。
え、大丈夫…？
「これはTwitterの情報を
気にかけておいたほうがよいな」
と思いました…
かなり不穏ですよね…
10月21日：PHPの脆弱性情報発覚
昼にPHPの脆弱性情報が飛び込む
UpdraftPlusはひとまず落ち着いたのかなぁなんて思いながらお昼過ぎに見たTwitterで「PHPに重大な脆弱性が発覚した」という話題を知ります。
え？PHP？？
PHPって…そんなのWordPress全部が対象ぐらいの話なのでは？？？
「PHP: Hypertext Preprocessor（ハイパーテキスト・プリプロセッサ）」
ホームページやWebサービスなどの「裏側の処理」を作るために使われるプログラミング言語
スキマ時間でちょくちょくTwitterを見ながら、少しずつ焦りが募ります。
MacBookがないと実質的に対処ができない
ためしにiPhoneで自分のブログを開くと、通常どおりの表示になっていました。とりあえず安心。
でも、普段からiPhoneの小さい画面ではWordPressを開く習慣がなく、MacBookでしか作業をしていないわたしにとってはこの時は実質的に「何も対処ができない状態」だったのです；；
もし、もしも何かあったら…
Apple IDは同じだからブログの管理画面にログイン自体はできるけれど…
FTPを利用しなければ、とかだと詰むなぁ…
PHPのバージョンははっきりとは覚えてないけど8.xにはなっているはず。7ではない。
知識がないなりに、そんなことを考えていました。
エックスサーバーが直ちにメンテナンス開始
そしてまたTwitterで、「エックスサーバーのアカウント管理画面がメンテナンスに入った」という情報を見つけます。公式のツイートがこちら。
自称有識者さんの「対策しましょう！」というツイートは山ほどおすすめに出てくるけれど、具体的に何をすればよいのかは書いていないし、エックスサーバー曰くWebサイトの表示は通常どおりと書いてあるし、これは待つしかないのかな。
なんだか23時に山場が来るとかって話だけど、そもそもこれは末端のユーザーに何かができる話なのか？というのもよくわからない。
エックスサーバーに任せておけばいい…のかな…
10月22日：エックスサーバー側で修正パッチ適用が完了
22日の早朝、エックスサーバー公式のツイートで「PHP 8.2～8.5について、対象となるすべてのサーバーへの修正パッチの適用が完了しました。」とのこと。夜通し対応してくださったんですね＞＜
続けて昼には「7.4〜8.1」、14時過ぎには「5.6〜7.3」がパッチ適用完了。
細かいバージョンは覚えていないけれど8.xになっている(7ではない)はずだから、これでわたしのブログもパッチ適用が完了したようです。
エックスサーバーさまさま…！
ありがとう！！
そしてこうして状況をこまめにツイートしてくれるのも、とっても助かる！
6年前にブログを始めた当時、大手にしておいたほうが有事の際の対応が手厚そうだなと思ってエックスサーバーを選んだのですが、正解でした…！
最近はドメインも含めて値上げが気になっていたけれど、こういう事態があると、引き続きエックスサーバーのお世話になりたいなぁと感じますね。
20日のUpdraftplusのほうの問題についても、最新バージョンを適応できなかったサイトについては該当プラグインのパーミッションを「000」へ変更する(一時的に無効化する)という措置が取られたようです。有難いですね。
帰宅後、MacBookでPHPのバージョンを確認
帰宅してから改めてニュースなど確認すると、21日から22日にかけては旅行サイトや通園アプリなどさまざまなサービスがメンテナンスにより停止していたのだとか。
わたし自身は旅程に影響はなく、滞りなく故人を見送ることができましたが、もしかすると何かトラブルが起きていたかもしれないと思うと… PHPは恐ろしい影響力を持っていますね…
そして、改めてWordPressのダッシュボードのサイトヘルスからPHPのバージョンを確認すると、8.1.34になっていましたよ。
これはパッチが適用された数値なのかどうかがわからない…と思ったら、「8.1以前はバージョンを変更せずに対策」されたようです。
おそらく適用されているだろう、ということしかわからないんですね。
PHPってこまめに最新にするとプラグインが非対応だったりするので時々しか更新していなかったのですが、これを機に推奨の8.3までは上げておこうかな…と思いました。
PHPを最新バージョンにするメリット
PHPの最新バージョンには、大きく2つの利点があります。
- サイトが高速化する
- サイトが安全になる
①サイトが高速化する
PHPは新しいバージョンになるたびに効率がよくなり、高速化されます。
動作が速いサイトは検索エンジンからの評価も上がりますし、待ち時間が短縮されることで訪問者の離脱を防ぎます。
②サイトが安全になる
最新バージョンには最新のセキュリティ機能が実装されています。
サイトがハッキングされれば対応コストがかかりますし、サイトの評判も下がりますから、ぜひ防ぎたいところですよね。
あえて「最新より一つ古いバージョン」にするのも選択肢
だったらPHPは常に最新にしておけばよいのでは？と思いますよね。
ところがそうはいかない理由があって…
最新バージョンに更新することで既存のソースコードやWordPressのテーマ・プラグインなどとの相性によってサイトが正しく動作しなくなる可能性があるんです。
でもこれは一概にデメリットと言えるものでもなくて、古すぎるPHPもまたサイトが正しく動作しなくなる原因となりうるのです。
個人的には「最新より一つ古いバージョン」ぐらいがちょうどいい塩梅なのかな？と思っていますよ。
調べてみたら、PHP8.1に更新したのは
なんと2023年10月でした。
3年も前だったとは…！
しっかり管理しないとダメですね；；
おわりに：帰省にはiPadだけでも持参しよう
今の世の中だとこのようなアクシデントがいつまた起きてもおかしくないようですので、一泊以上自宅を離れる際にはせめてiPadだけでも持参したほうがよいというのが今回の学びです。
いくら弱小サイトとはいえ、管理を担っている者としての責任がありますよね。
本当はMacBookのほうがいいんでしょうけれど、破損のリスクを負いたくない…（実家はいずれも飛行機利用の距離なんです…）
それこそ今回のような有事の際に
MacBookにまで何かあったら、
もう目も当てられないですからね；；
もっとも今回に関していえば、仮にMacBookを帰省に持参できていたとしても、できる対応にはあまり変わりがなかったかもしれませんが…(わたしの知識不足+弔事という特殊事情で)
ちなみに現在使用しているiPadはA16です。
安価なエントリーモデルですし主にBGM用と化していましたが、いい機会なので、持ち歩き用として外付けキーボードタイプのケースを検討しようかなと思っていますよ。
でもこういうのをiPadに付けると
結局重くなっちゃうから、
「じゃあMacBookでいいじゃん」
ってなる気もする…苦笑
あとは言うまでもないことですが、Twitterの情報を参考にする場合は偽物のアカウントではないことをよく確認する必要がありますね。
有事の際こそ冷静に、です。
わたしのこの体験が少しでもどなたかのヒントになると幸いです。
コメント