PHPの脆弱性への応急処置と、いま知っておきたいこと

こんにちは、トキヨリ株式会社の阪西（ばんざい）です。
昨夜21日から「PHPに重大な脆弱性が見つかった」というニュースが広がっています。
SNSでは噂や専門用語ばかりの話が飛び交い、「結局、自分は何をすればいいの？」と不安に感じている方も多いのではないでしょうか。
※個人的に相談をもらうことが多く「やっぱみんな不安だよな...」と思い記事にさせていただきました

この記事では、難しい言葉をできるだけ使わずに「何が起きているのか」「自分は対象なのか」「今できることは何か」を初歩編としてまとめました。

全体像を知る：PHPの脆弱性はなぜここまで問題になっているのか？

結論から言うと、悪意のある人が「遠隔でWEBサイトを乗っ取れてしまう」可能性があるからです。
悪い人が自分の家に知らないうちに侵入...あれやこれやら物色するみたいな感じです（怖い）

PHPってなに？

PHPは、WEBサイトを動かすためのプログラム言語のひとつです。お問い合わせフォームの送信やブログ記事の表示など、主に「データのやり取り」を担当しています。世界中の非常に多くのWEBサイトが、このPHPで動いています。

今回、そのPHPそのものに、非常に深刻な欠陥（脆弱性）が見つかりました。一部では「php2shell」（ぴーえいちぴー・とぅー・しぇる）という名前でも呼ばれています。
正確な情報は、JPCERT/CCやIPA（情報処理推進機構）などの公的機関が発信しています。
SNSの噂より、まずはこちらを確認するのがおすすめです。
※結構、専門的な感じで書いているので難しい内容なんですよね、、、

実際に何が起きるの？

この欠陥を悪用されると、「リモートハッキング」が可能になります。
つまり、悪い人が自分のパソコンから、あなたのWEBサイトを乗っ取れてしまうということです。

そして、サイトを乗っ取られると、次のようなデータが抜き取られる恐れがあるのです、、、

• お問い合わせフォームから届いたメッセージ内容
• イベントやサービスの申し込みデータ
• ネットショップの注文データ

これらには、お名前・電話番号・住所・メールアドレスなどの個人情報が含まれています。だからこそ「やばい！」と大きな話題になっているのです。
※他にもやばい！って理由はたくさんあるとは思うのですが、一旦こういった内容にとどめておきます

私ってやばい？：対象を知る

いちばん影響が大きいのは、WEBサイトを運営している方です。
会社でホームページを持っている方、個人でブログやホームページを運営している方が対象になります。

「私の個人情報があぶない！」と心配している方へ

今回のPHPの脆弱性で、あなたの個人情報が流出する可能性はゼロではありません。
ただ、不正アクセス自体は以前からずっと頻繁に起きています。
※これは結構本当の話です、すごい身近な話です

このPHPの件で、一般の方の危険が急に大きくなるわけではありません。
まずは次の3つをやっておけば、ひとまずOKです。

1. パスワードを使いまわさない — 1か所で漏れても、他のサービスまで被害が広がるのを防げます。
2. 強固なパスワードを使う — 自分で考えるより、パスワードジェネレーターで作るのが確実です。
3. 二段階認証をONにする — 万が一パスワードが漏れても、これだけで乗っ取りを大きく防げます。

もうひとつ気をつけたいのが、このニュースに便乗した詐欺です！

「PHPの脆弱性対策が必要です」「あなたの情報が漏れています」などのメールやSMSが届いても、本文のリンクは開かず、パスワードも入力しないでください。
心配なときは、公式サイトを自分で開いて確認しましょう！
※大体の公式サイトはオフィシャルでお知らせを公開しています

WEBサイトを運営している方へ

運営者の方は、「どんな仕組みでサイトを作っているか」で話が変わります。
特に注意が必要なのは、WordPressなどの「CMS」と呼ばれるシステムでサイトを運営している場合です。
理由は、CMSの多くはPHPで動いているためです。

「自分のサイトがどうなっているか分からない！」という方は、ChatGPTやGeminiなどのAIに、自分のサイトのURLをコピペしてこう聞いてみてください。

-----
このサイトはCMSを使っていますか？今回のPHPの脆弱性の対象になりますか？
-----

おそらくこれが一番手っ取り早く分かります。
ただしAIの回答はあくまで「目安」です。出たばかりの脆弱性については、AIが情報を持っていなかったり、もっともらしい間違いを答えたりすることがあります。
最終的な判断は、次に紹介する制作会社やサーバー会社に確認してください。

対応：まず何をすればいい？

やることはたったひとつ、「PHPを最新バージョンにアップデートすること」です！
とはいえ、ご自身で作業するのは難しい方も多いと思います。なので、まずは次のどちらかをしてください。

• 制作会社に連絡する — サイトを作ってもらった会社や、保守をお願いしている会社があれば、これが一番確実です。
• サーバー会社の案内に従う — 各サーバー会社からメールやお知らせで対応方法が出ています。（ただ、正直これを読み解くのは難しいですよね...）

どのバージョンにすればいいの？

アップデート先のバージョンは、ご利用中のサーバー会社の公式案内で確認するのが確実です。
ここに書いてもいいのですが、難しい数字がずらっと並んでかえって困ってしまうと思うので、あえて省略します。（ゴメンナサイ）
AIに聞くと古い情報や間違った数字が返ってくることもあるため、この部分だけは公式案内か制作会社への確認をおすすめします！

なお、PHPを新しくすると、古いプラグインやフォーム、最悪WEBサイトがが動かなくなることもあります。
不安な場合は、作業前に制作会社へ相談してください。

今すぐにはできない！という場合の応急処置

制作会社に連絡がつかない、すぐにアップデートできないという場合は、次の順番で備えておきましょう！
※根本解決にはいたりませんが、多少なりとも効果はあります！やらないより全然マシです！

1. 個人情報のデータをエクスポート（ダウンロード/書き出し）して、サイトから削除する

管理画面にログインしてお問い合わせフォームなどの履歴が見られるなら、まずは全てエクスポート（ダウンロード/書き出し）してバックアップします。
その後、サイト上のデータを削除しておけば、万が一乗っ取られても個人情報の流出は防げます。
ダウンロードしたファイルも個人情報なので、社内の安全な場所に保管してください。
また削除する前に、ダウンロードしたファイルが正しく開けるか、業務上サイトに残しておく必要があるデータではないかを必ず確認しましょう！
※焦っている時は確認漏れとか多いので注意です！

2. サイト全体のバックアップを取る

できるかどうか、どうやるかは、使っているサーバーやCMSによって変わります。
ここもAIに「○○サーバーでWordPressのバックアップを取る方法は？」のように聞くのがいちばん早いです。

この時に注意というか、個人的なおすすめ？アドバイスなのですが
できるだけWordPressプラグインでバックアップは取らない方が良いかもです（詳しい方はOK）
というのもm昨今プラグインにも不正アクセスがあったりなどしていますので（UpdraftCentralとか）そのプラグインが原因で...みたいなこともあるので。

3. ログインパスワードを変えて、二段階認証をONにする

管理画面やサーバーのパスワードを強固なものに変え、二段階認証が使える場合はONにしておきましょう。
PHPの脆弱性にはあまり効果を発揮しないかもしれませんが、そのほかの手法の不正アクセスの予防になるので...！
していない方はこれを機に！（切望）

さいごに

今回ご紹介した内容は、あくまで応急処置です。それでも、やっておくだけで一定の効き目があり、個人情報の流出を未然に防ぐことにもつながります。根本的な対策は、PHPのアップデートです！

この記事は「初歩編」として、できるだけ分かりやすくまとめました。
「うちのサイトはどうなの？」「今すぐ知りたい！」という方は、お気軽にトキヨリ株式会社までご連絡ください。
できる限り、ご対応をさせていただきたいと思っています...！