PHPの緊急脆弱性、僕のサイトに影響がなかった理由
PHPの緊急の脆弱性が自分に関係あるかは、持っているサイトがPHPで動いているかで決まり、AIに調べさせた僕の環境は使っていなかったので無事でした。
10月21日、ニュースを開いたら、日本のサービスが次々に止まっていました。PHPに重大な脆弱性が2件見つかって、修正版が出る前後に、あちこちが緊急メンテナンスに入ったんです。
最初に思ったのは「国内サービスは使えねえな」でした。
ただ、落ち着いて自分の環境を調べさせてみると、話はもっと単純でした。僕の環境には、PHPがどこにも入っていなかったんです。だから今回は、何もしなくてよかった。
「PHPって何？」という人も多いと思います。でも、このニュースで自分がやることは、3つのうちどれに当たるかで決まります。順番に書きます。
何が起きたのか、ざっくり
PHPは、Webサイトの裏側で動くプログラムの言語の一つです。ブログを作るWordPressも、PHPで動いています。日本のネットショップや予約サイト、会員ページにも、かなり広く使われています。
今回見つかった2件は、ログインしなくても、外からサーバーに好きな命令を実行させられる種類のものです。家で言えば、鍵を持っていない人が玄関を開けられる穴に近いです。
しかも21日の午後2時の時点で、攻撃に使えるコードがネットに出回っていると報告されていました。修正版が出れば、穴の場所も広く知られます。だから各社は、夜中でもサービスを止めてまで急いだわけです。
PHPの開発チームは21日に、8.5.12、8.4.27、8.3.36、8.2.35という修正版を出しました。8.1より古いバージョンには、通常の修正版が出ていません。
国内では、さくらインターネットが21日の23時からレンタルサーバーのPHPを上げる作業を始め、コドモンは全サービスを止め、BASEも緊急停止を出しました。使っているサービスがメンテナンス中で開けなかった人もいると思います。あれは、サービスの側が穴を塞いでいる時間です。
僕のサイトが関係なかった理由
僕は、ITまわりは基本的に海外のサービスを使っています。サイトの置き場所はCloudflareのようなところで、日本のレンタルサーバーはほぼ使っていません。
とはいえ、Cloudflareを丸ごと信用しているわけでもないんです。9月の頭には、Cloudflareは無難でコスパもいいけれど、セキュリティの面は正直心配な部分もあると思っていました。だから、自分しか見ないものは別の場所に分けています。この話は最後に書きます。
ただ、「海外だから大丈夫」は、半分しか当たっていないと思います。今回の穴はPHPそのものにあるので、海外のサーバーでもPHPを動かしていれば当事者です。僕が無事だったのは、国内か海外かではなく、PHPを使っていなかったからでした。
ここが自分でも少し面白いところで、僕がパソコンを触り始めたのは、WordPressで独自ドメインのブログを作るのが流行っていた頃なんです。マナブログを見ながら、右も左も分からない状態でWordPressの設定を体に叩き込みました。
あの頃の作り方をそのまま続けていたら、21日の夜は、たぶん僕もサーバーの管理画面に張り付いていました。
今の僕は、自分でコードを書いていません。全部AIに作らせています。コードを自分で確認する必要もない作り方なので、中身を一行ずつ見ているわけではないんですよね。今回も、自分で確かめたのではなく、AIに調べさせて「PHPは使っていない」と分かりました。
自分がどれに当たるかで、やることが変わる
このニュースでやることは、立場で3つに分かれます。
使うだけの人
イラストのサイトを見る、コドモンで園に連絡する、ネットショップで買い物をする。こういう使う側の人が、自分の手で直せるものはありません。止まっているサービスは、復旧を待つしかないです。
パスワードを変えるかどうかは、そのサービスから「情報が漏れたおそれがある」という案内が来てからで間に合います。ほかのサービスと同じパスワードを使い回している人だけは、これを機に分けておくと安心です。
WordPressでブログやお店のサイトを持っている人
WordPressはPHPで動くので、ここは当事者です。
レンタルサーバーを借りているなら、まずサーバー会社のお知らせを見てください。会社によって動き方が違います。さくらはサーバー側でPHPを上げる作業をしていますが、ロリポップは修正版が出る前に一部の機能を止めた段階で、修正が済んだという意味ではありませんでした。
お知らせを読んだら、自分のサイトのPHPのバージョンを見て、上の修正版の番号になっているかを確かめます。WordPressなら、管理画面の「ツール」から「サイトヘルス」を開いて「情報」のタブに進むと、「サーバー」の欄にPHPのバージョンが出ています。サーバー会社の管理画面でも、たいてい見られます。8.1以前のバージョンのままなら、サーバー会社の案内に沿って新しいバージョンへ切り替えることになります。
VPSなどで自分でサーバーを動かしている人は、待たずに今すぐ上げる側です。
AIでサイトやアプリを作った人
いちばん気をつけてほしいのが、僕と同じ、AIに作らせている人です。
自分でコードを書いていないと、PHPが入っているかどうかを、自分では答えられないことがあります。作ったAIに「このプロジェクトとサーバーで、PHPを使っている所はあるか」を聞いて、使っているならバージョンまで出してもらう。僕がやったのも、要はこれです。
Cloudflareは21日のうちに、無料プランも含めて、この穴を狙った攻撃を止めるルールを入れました。ただ、これは時間稼ぎで、PHPを上げる代わりにはなりません。
答えられないなら、まだ外に出さない
今回のことで、僕は一つ決めました。AIで作ったものは、当分、自分だけのプライベートなプロジェクトとして使います。人に向けて公開するのは、AIのセキュリティの力が、ほぼ安全と言えるところまで来てからにします。
5月の時点で、僕はこう考えていました。動いているように見えるものを作ることと、壊れたときに原因を見て直せることは、まったく違う。自分の能力以上のことをAIに丸投げすると、出てきたものが良いのか悪いのかすら判断できなくなる。
今回の件は、まさにそれでした。PHPが入っているかを聞かれて即答できないものを公開していたら、21日の夜は、何が危ないのかも分からないまま朝を待つことになります。
読む人が使える形にすると、境目は一つです。「これはPHPを使っているか、使っているならバージョンは何か」に、自分かAIで1日以内に答えられて、すぐ上げられるなら、公開していい。答えられないなら、自分だけがログインできる場所に置いておく。
僕のプライベートなサイトも、自分のアカウントでしか入れない形にしてあります。誰でも開ける場所に置かないだけで、狙われる入口はかなり減ります。
変に人間が手を入れて作るより、AIに作らせた方がまだ安全だと僕は思っています。「AIにはAI」です。ただし、しばらくは自分の部屋の中だけで。
制作プロセス
このコンテンツは、僕自身の一次情報をもとに制作しています。
出典1：国内サービスのサイバーリスクと、今はプライベートで作るということ
出典2：ブログとAIが結ぶ自分の学び
出典3：制御できる範囲でAIを使う
出典4：自分のデータホームが分身エージェントのガソリンになる
AI活用
制作には、以下のAIモデルを使用しています。
ニュースレター
今週の大事な変化と、それをどう判断し、どう動いたかを毎週まとめています。