10月21日、PHPに深刻な脆弱性が2件見つかり、修正版が公開されました。8.5系なら、修正版は8.5.12です。
ところが、私のブログのサイトヘルスを見ると、PHPのバージョンは8.5.11のままでした。
直っていないのでしょうか。いいえ。私のブログを置いているConoHa WINGは、番号を変えずに、修正だけを取り込んでいました。
この記事では、PHPの公式とConoHaのお知らせで確かめた流れと、直る前に私が取ったバックアップ、サイトヘルスでの確かめ方をまとめます。同じ番号を見て心配になった方の、参考になればと思います。
PHPに、深刻な脆弱性が2件見つかりました
PHPは、WordPressを動かしているプログラムの言語です。
PHPの公式サイトによると、10月21日（日本時間23時）に、2件の脆弱性を直した修正版が公開されました。ログインしていない第三者が、細工した通信を送るだけで、サーバー上でプログラムを動かせるおそれがあるものです。深刻度は、10点満点で9.2です（PHP公式サイト）。
修正版の番号は、次のとおりです。
| 系統 | 修正版 |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
PHPの公式は「完全な回避策はなく、更新することが唯一の安全な選択」としています。8.1以前には、PHPの開発元からの更新はもうありません。
レンタルサーバーでは、PHPそのものはサーバー会社が管理しています。私のブログなら、ConoHa WINGです。
ConoHa WINGの対応を、お知らせで追いました
ConoHa WINGは、10月21日から22日にかけて、お知らせを何本も出していました。並べると、こうなります。
| 日時 | 出来事 |
|---|---|
| 10月21日 19時〜22日 10時 | ConoHa WINGの緊急メンテナンス |
| 10月21日 23時 | PHPの修正版が公開 |
| 10月22日 | 「PHPの脆弱性への弊社対応について」。使っているバージョンのまま修正を当てる。ファイルマネージャーとWebメールを一時停止。21日からのメンテナンスも、この対応だった |
| 10月22日 12時〜21時 | サーバーを再起動する緊急メンテナンス |
| 10月22日 18時 | 第2報。修正を順に当てている |
| 10月22日 20時45分 | 終報。すべてのPHPバージョンに修正を当て終えた |
対応のお知らせには、「お客様ご自身でPHPバージョンの変更等をしていただく必要はございません」と書かれています。Webサイトの表示とメールの送受信は、通常どおり使えるともありました（【重要】PHPの脆弱性への弊社対応について｜ConoHa WING）。
直る前に、BackWPupでバックアップを取りました
10月22日の朝9時、BackWPup（WordPressのバックアップ用プラグイン）でバックアップを取り、パソコンに保存しました。ConoHaの修正が終わる前です。
万が一のとき、元に戻せるようにするためです。IT歴が長いせいでしょうか、事前にバックアップを取るのは常識ですね。
それに、これまで書いた記事が無くなったら、悲しいですからね。
サイトヘルスでは、8.5.11のままでした
翌日の10月23日、WordPressのサイトヘルスで、PHPのバージョンを確かめました。手順は、こうです。
- 管理画面の「ツール」を開く
- 「サイトヘルス」を開く
- 「情報」を開く
- 「サーバー」を開く
- 「PHP バージョン」を見る
表示は「8.5.11」。修正版の8.5.12ではありません。ConoHaのお知らせのとおり、バージョンはそのままでした。
番号が変わらないのは、修正だけを取り込んだからです
ConoHaの終報には、こう書かれています（【重要】PHPの脆弱性への弊社対応完了のお知らせ（終報）｜ConoHa WING）。
- PHPのバージョンを上げるのではなく、いま使っているバージョンのまま、修正プログラムだけを取り込んだ
- そのため、サイトヘルスなどでは、修正版の番号（例：8.5.12）ではなく、これまでと同じ番号（例：8.5.11）が表示される場合がある
修正を当てたあとの番号として、8.5.11、8.4.26、8.3.35などが並んでいます。私のブログの8.5.11も、この一覧に入っています。
お知らせの最後には「表示されるバージョン番号にかかわらず、今回の脆弱性に対する修正プログラムはすべてのPHPバージョンに適用済みです」とあります。
ConoHa WING以外のサーバーを使っている方へ
番号の出方は、サーバー会社によって違うかもしれません。番号だけで判断せず、ご自分のサーバー会社のお知らせを確かめてください。
8.1以前を使っている場合、PHPの開発元からの更新はありません。PHPの公式は、サーバー会社に確かめるか、サポートされているバージョンへ上げるよう案内しています。
なお、PHPの公式は10月23日に、別の注意も出しています。設定とプログラムが特殊な組み合わせになっているときだけ起きるもので、次の定期の更新で直す扱いになっています。
まとめ
PHPの脆弱性とConoHa WINGの対応について、3つにまとめます。
ConoHa WINGは、10月22日20時45分に、すべてのPHPバージョンへ修正を当て終えました。 利用者がバージョンを変える必要はありません。
サイトヘルスの番号が8.5.11のままでも、修正ずみです。 番号を上げずに、修正だけを取り込んだためです。
直る前に、BackWPupでバックアップを取っておきました。 万が一のとき、元に戻せるようにするためです。
今日が人生で一番若い日です。ぜひ、今日から一歩踏み出しましょう。
コメント