Ep.49｜PHPの脆弱性対策は何をするのが正解だったか

【今回のエピソード】

10月21日のお昼、PHPに緊急性の高い脆弱性が見つかり、ニュースになるほどの騒ぎになりました。認証なしで管理者として入れてしまうというもので、WordPressを含め、PHPで動いているサービスが対象です。あのとき、サイトを運営している側は何をするのが正解だったのか。振り返ってお話しします。

結論から言うと、気づいた時点でサイトを止めるのが正解でした。ただし、プラグインのメンテナンスモードでは意味がありません。PHPが動いてしまうからです。サーバーの .htaccess の先頭に、すべてのアクセスをメンテナンス用のHTMLへ飛ばす記述を入れて、PHPを一切動かさない状態にする。これが一時的な防御になります。今回は公表されたその日の夜11時には修正パッチが出て、レンタルサーバー各社は深夜から明け方にかけて対応を終えていました。翌朝「対応完了」の案内を確認したら、.htaccess の記述をコメントアウトして元に戻す。共用レンタルサーバーなら、これで十分でした。

ただ、もっと手前の話があります。この騒ぎに、そもそも気づけたかどうかです。私は仕事柄すぐ目に入りましたが、エンジニアの発信を追っていなければ、何が起きているかは分かりません。気づかないまま、結果的に何も起きずに終わった方も多いはずです。WordPressについて発信している人を何人かフォローしておく。それだけでも、次に同じことが起きたときの動き方が変わります。

【タイムスタンプ】

• 00:00 オープニング：10月21日に起きたPHPの脆弱性
• 04:18 WordPressを使っている人は、次に同じことが起きたらどうするか
• 04:50 結論：まず、サイトを止める
• 05:57 プラグインのメンテナンスモードでは意味がない
• 06:57 .htaccess でメンテナンスページに飛ばす
• 09:16 サーバー側のパッチ適用が終わったら、元に戻す
• 11:05 そもそも、このニュースに気づけたか
• 13:53 まとめ：止められる準備と、情報を追っている人をフォローすること

【番組内で触れたツール・サービス】

Ep.46｜WEBで集客する場合の土台を整える その3

.htaccess : Apache系サーバーで、アクセスがあったときの振る舞いを決めるファイル。ここでメンテナンスページへ飛ばす。

【お便り・ご質問はこちら】

番組への感想や、取り上げてほしいテーマ、ご質問・ご相談を募集しています。

https://forms.gle/rkijdhtbr9vcy1Lp8

ハッシュタグ「#WEB戦略研究室」でのポストもお待ちしております。