PHPの重大な脆弱性、うちのサイトは関係ある？専門家じゃなくてもできる確認のしかた

10月21日の夜、PHPの修正版が公開されました。

私のところにも、翌朝からいくつか連絡をいただきました。いちばん多かったのは「ニュースは見た。で、うちは関係あるの？」という質問です。

正直、これがいちばん大事な問いだと思います。ニュースを見て不安になるより先に、自分のところが対象かどうかを落ち着いて確かめる。今日はその手順を、なるべく専門用語を使わずに書きます。

そもそも、何が起きたのか

PHP（ピーエイチピー：Webサイトの裏側で動いているプログラムの言語）に、重大な弱点が見つかりました。

ざっくり言うと、条件がそろうとログインしていない外部の人が、サーバーの上でプログラムを動かせてしまう種類の弱点です。専門的にはRCE（リモートコード実行：遠くから好きな命令を実行できてしまうこと）と呼ばれます。

ただし、ここで慌てる必要はありません。修正版はもう出ています。やることは「自分が使っているかを確かめて、使っていれば新しい版にする」。これだけです。

まずここからです。次のどれかに当てはまれば、PHPが使われている可能性が高いです。

逆に、STUDIOやWixのようなサービスで作ったサイトは、サーバーの管理をサービス側が行っているので、基本的に自社で対応することはありません。

ここが意外と見落とされます。

レンタルサーバー（エックスサーバー、さくらのレンタルサーバーなど）の場合、PHPの更新は基本的にサーバー会社が行います。今回も主要なところは翌朝までに更新を終えていました。
VPSやクラウド（自分でサーバーを借りて設定しているもの）の場合は、更新するのは自分たちです。誰かがやってくれることはありません。

「どっちか分からない」という方は、サイトを作った会社に一言聞けば分かります。

レンタルサーバーなら、管理画面（コントロールパネル）の「PHPバージョン設定」のようなページで確認できます。

今回、修正が入ったのは次の版です。

そして、ここが一番伝えたいところです。8.1より古い版には、修正版が出ていません。 すでにサポートが終わっているからです。

古い版のままのサイトは、今回に限らず、これから見つかる弱点も直されません。いい機会なので、新しい版への切り替えを制作会社と相談してみてください。

確認してみたら対象外だった。それはそれで、とても良いことです。

ただ、今回のような連絡を受けていて感じるのは、「自社のサイトが何で動いていて、誰が管理しているか」が分からない会社が、本当に多いということです。責めるつもりはまったくありません。サイトは一度作ると、なかなか見直す機会がないものです。

なので、今回のついでに、次の3つだけメモしておくことをおすすめします。

これがあるだけで、次に同じようなニュースが出たとき、確認は5分で終わります。

脆弱性のニュースは、これからも定期的に出てきます。毎回ドキッとする必要はありません。「うちは関係あるか」を落ち着いて確かめられる状態をつくっておけば、それで十分です。

もし確認のしかたが分からない、どこに聞けばいいかも分からない、という場合は、気軽に声をかけてください。一緒に確認します。

気になることや、確認のしかたが分からないことがあれば、お問い合わせや、右下の「よろづ相談窓口」から気軽に声をかけてください。