セルフチェック
判断の表は、こちらの記事にあります。
対象外
PHPで動いていないので、今回の脆弱性の対象外です。直すのはサービスの会社です。
急ぎます
8.1以下には公式の修正版が出ません。サーバー会社が独自に直すか、PHPを上げる必要があります。
上げるとサイトが真っ白になることがあるので、順番を守って進めます。
PHPバージョンアッププランを申し込む最優先
8.1以下には公式の修正版が出ません。いまのサーバーでPHPを上げられるか、新しいサーバーへ移すかを決めます。
何年も更新していないサイトなら、PHPをやめてHTMLにする手もあります。
なぜ防げないのか
WordPressのサイトをビルに入っているお店にたとえると、PHPはビルの入口です。今回壊れていたのは、この入口でした。
攻撃はWordPressやEC-CUBEが動き出す前、PHPがリクエストを読み込む段階で成立します。だからセキュリティのプラグインも、管理画面のIP制限も効きません。
根本の対策は、入口つまりPHPそのものを直すことだけです。
図で読む解説記事へ
プラン
対象か分からない。何をすべきか知りたい
5,000円
WordPressやプラグインの版、サーバー、PHPの版と動き方を調べます。版の数字だけでは判断しません。サーバー会社が独自に直していることがあるからです。
知らない管理者や、見覚えのないファイルが増えていないかも見ます。VPS・クラウドなら、サーバーのOS、メールの設定、DNSも見ます。
結果は次にやることと一緒にお返しします。何もしなくてよければ、それで終わりです。
このプランで申し込むPHP8.1以下で動いているサイト
控えを取り、本体とテーマ・プラグインを更新してから、PHPを上げます。表示や送信を1つずつ確かめて、崩れた所は直します。
おかしくなっても、控えから元に戻せる状態で進めます。EC-CUBEは本体の版によって上げられるPHPが決まっているので、そこも先に確かめます。
このプランで申し込むいまのサーバーでは古いPHPから抜けられない
サイトとデータベースを新しいサーバーに移し、表示と送信を確かめてから、ドメインの向き先を切り替えます。切り替えるまでは、いまのサイトがそのまま動きます。
移したあとの保守・運用も、月額でお任せいただけます。
このプランで申し込む何年も更新していない会社案内のサイト
20ページあたり
10万円
PHPをやめて、HTMLだけのサイトに書き出します。PHPが動かないので、今回のような脆弱性の対象から外れます。見た目はいまのままです。
その代わり、管理画面から記事を書き足すことはできなくなります。お問い合わせフォームは、外部のフォームサービスに置き換えて残します。
このプランで申し込む金額はすべて税込です。
進め方
下のフォームからどうぞ。2営業日以内に返事をします。
サーバーや管理画面に入る方法を伺います。受け取り方はメールでご案内します。
何が対象で、次に何をするかを書いてお返しします。
作業が要るときだけ、金額を書いて出します。
控えを取ってから始めます。終わったら、確かめた項目と一緒にご報告します。
記録
10月21日の夕方にPHPの情報を知ってから、過去に作ったサイトの管理者さんやWeb制作会社さんから問合せが続きました。対応の記録はブログに残しています。
緊急対応をやった人間が「これで大丈夫です」と言ってはいけない。そこが保守屋の線引きだと思っている。
PHP 5.3.3 に PHP2Shell の修正を自分で移植した話
よくある質問
PHPを直すのはサーバー会社です。ただ8.1以下のままだと、公式の修正版は出ません。
直った版は8.2.35・8.3.36・8.4.27・8.5.12以上です。サーバー会社のお知らせで、修正の予定と時期を確かめてください。
防げません。攻撃はWordPressが動く前、PHPがリクエストを読み込む段階で成立するためです。
止めるならサイト全体を静的なHTMLに302リダイレクトして、PHPにリクエストを渡さないようにします。
壊れることがあります。古いテーマやプラグインが動かなくなって、画面が真っ白になる。よくある話です。
控えを取り、本体とプラグインを更新してからPHPを上げます。おかしくなったら元の版に戻せます。
公式の修正は出ていません。PHP5.3.3で動くECサイトに、修正を自分で移植してビルドしたことがあります。
ただふさげたのは今回の2件だけで、ほかの穴は残ります。延命は延命なので、移行の話も一緒にします。
今回のような件は、サービスの会社がまとめて直してくれます。その代わり、プラグインで機能を足したり、別のサーバーに引っ越したりはできません。
自分で面倒を見られないなら、面倒を見てくれるサービスを選ぶ。WordPressで自由に作りたいなら、面倒を見る人を付ける。私はこの選び方でいいと思っています。
管理画面から記事を書き足したり直したりは、できなくなります。更新が要るときはHTMLを直接書き換えます。
お問い合わせフォームは、外部のフォームサービスに置き換えて残します。
サイトのURLと、サーバーや管理画面に入る情報です。受け取り方は、お申し込みのあとにメールでご案内します。
分からないものは、分からないまま申し込んでください。
お申し込み
2営業日以内に、私が返事をします。
緊急対応のお約束はしていません。ただこのページのプランは、届いた順になるべく早く着手します。