PHP重大脆弱性から一夜明けて｜あの夜の対応とサーバーレス移行

西澤です。

10月21日の夜、PHPの重大な脆弱性に対応する修正版が公開されました。前回の記事では公開前の時点で取るべき対策をまとめましたが、この記事ではあの夜、実際に何が起きていたのかと、一夜明けて見えてきたこと、そして「WordPressでのサイト運用を見直す」という選択についてお伝えします。

YouTube動画。再生できない場合は下のリンクからご覧ください。

PHP重大危険の対応とサーバーレス移行｜ゲールウェストチャンネル

前回の記事はこちら：【緊急】WordPress等、PHPを利用するサイト・システムの対策について

あの夜、実際に何が起きていたか

PHPは世界のサイト・システムの約7割で使われていると言われる、とてもメジャーな言語です。その本体に重大な脆弱性が見つかり、21日23時（日本時間）に修正パッチが公開されることになりました。

当日の弊社の動きはこんな流れでした。

21時前：保守管理しているクライアントさんの対策が完了
21時過ぎ〜日付変更線：重大性を知らない同業者・制作業者への連絡に追われる
並行して：食料品の買い出し、現金の確保、車のガソリン満タンまで準備

買い出しまでするのは大げさに聞こえるかもしれません。ただ、最悪のケースを想定すると、物流システム、レジ、決済、流通や制御システムまで止まりかねない事態でした。石油ショックやコロナ初期のマスク不足のような混乱が起きてもおかしくない。実際に動ける範囲で備えておこうと、仲のいいエンジニア数人とそれぞれ準備していました。

一夜明けて見えてきたこと

幸い、日本では大きな実害は限定的でした。政府からの注意喚起も対応を後押ししたと感じています。高市総理はもともと総務省出身でサイバー分野に明るく、この種の発信があるかどうかで現場の動きはかなり変わります。

ただし影響がゼロだったわけではありません。知人からは「QRコード決済の駐車場から出られない」という連絡も入りました。AIで低コストに大量の攻撃がしかけられる時代です。今回は間に合いましたが、安心しきれる状況ではありません。

レンタルサーバー利用者は比較的安全でした。エックスサーバーは管理画面をメンテナンスモードにしてまで防御を固める対応をしていました。一方で、自前のサーバーで古いPHPを動かしている事業者は、今も危険な状態にあると思います。

なぜ全WordPressユーザーが対象になったのか

今回の脆弱性は、プラグインやテーマではなくPHP本体の問題でした。つまりWordPressを使っているサイトは、どんな構成でもすべて対象です。

WordPressのような動的サイトは、訪問のたびにPHPがサーバー上で動きます。そこが構造的に攻撃の入り口になります。WordPressに限らず、動画内でも触れていますがJavaやNode.jsといった言語にも脆弱性の指摘は出ており、PHPだけの問題とも言い切れません。それでも「言語そのものの脆弱性」に振り回され続ける運用を、この先も続けていくのかは考えどころです。