PHPの脆弱性でWordPressブログは何をすればいい？レンタルサーバー利用者が自分のブログで確認してみた

ぶた吉

ニュースで「PHPの脆弱性」って見たんですけど、僕がWordPressで運営しているブログも何か問題があったりするんでしょうか？

先生

首相まで「大至急」と呼びかけていたので、不安になりますよね。

いくつ当てはまりますか？

□ PHPが何なのか、よく分からない
□ WordPressを最新にしておけば大丈夫だと思っている
□ 自分のブログのPHPのバージョンを知らない

先生

1つでも当てはまったら、ぜひ読んでいってください。結論から言うと、レンタルサーバーでWordPressを使っているなら、やることはPHPのバージョンを確認することだけです。直すのはサーバー会社なので、慌てなくて大丈夫ですよ。

結論：レンタルサーバーの場合はPHPのバージョン確認

今回の脆弱性は、PHPという、サーバーの中で動くプログラムそのものに見つかった弱点です。
レンタルサーバーを使って活動をされてる方の場合、直す作業はサーバー会社が行うので、レンタルサーバーの利用者が自分で直接対応する必要はありません。

ただし、立場によってやることは少し変わります。まずは、自分がどこに当てはまるか確認してください。

立場	直すのは	自分がやること
サイトの読者	各サイトの運営会社	特になし（詐欺メールに注意）
発信サービス・ネットショップなどで活動している人	サービスの運営会社	お知らせの確認と詐欺メールへの注意
レンタルサーバーでWordPressを使っている人	サーバー会社	PHPのバージョンの確認
自分でサーバーを管理している人	自分	すぐに修正版へ更新

この記事では、次のことを紹介します。

今回のニュースは、PHPが何かを知っておくとぐっと分かりやすくなります。まずはPHPの役割から見ていきましょう。

PHPは、サーバーの中で動くプログラミング言語です。WordPressなど多くのWebサービスが、このPHPで作られています。

iPhoneで例えると、PHPはiOS、WordPressはアプリのような関係です。アプリをどれだけ新しくしても、iOSに弱点があれば、スマホ全体が危なくなります。

今回見つかった2つの脆弱性（通称「PHP2Shell」）は、ログインしていない第三者が、外からサーバーでプログラムを動かせてしまうおそれがあるものです。深刻さの評価は、10点満点で9.2でした。

修正版は10月21日に公開されましたが、攻撃の通信が観測されたという報告も出ています。首相がXで、サイトを運営する人に「大至急」の対応を呼びかけたのも、そのためです。

ぶた吉

iOSの例えは分かりやすいです。じゃあ、WordPressを最新にすれば直るんですか？

先生

実は、そこが一番の勘違いポイントなんです。

理由は、弱点があるのがWordPressではなく、その土台のPHPだからです。アプリを更新しても、iOSの弱点は直りません。

では、PHPは誰が直すのか。それは、サービスの仕組みによって変わります。

ブログもnoteも、ネット上の活動はすべて、サーバーというパソコンの上で動いています。そのパソコンの中身を誰が管理しているかで、直す人が決まります。

レンタルサーバーの場合、PHPはサーバー会社の担当です。だから、利用者がやることは直ったかどうかの確認だけになります。

ここがポイント

今回の弱点はPHPにあるので、WordPressやプラグインを更新しても直りません。直すのはサーバー会社。利用者は、直ったかどうかを確認しましょう。

PHPのバージョンは、WordPressの管理画面から1分ほどで確認できます。

ここで「推奨バージョン」と表示されていても、今回の修正が当たっているとは限りません。WordPressの推奨は、新しめのPHPかどうかを見ているだけです。

PHPの公式が出した修正版は、次の4つです。表示された数字の最初の2つ（8.4など）が同じ行を見てください。

ただし、サーバー会社によっては、数字はそのままで中身だけ修正する場合があります。なので、確認した数字は次のように判断してください。

1表の修正版と同じか新しい
修正済みです
2表の修正版より古い（8.2以上）
サーバー会社のお知らせで、対応が終わったか確認しましょう
38.1以前
公式の修正版は出ません。サーバー会社が独自に修正していることもあるので、まずはお知らせを確認しましょう。そのうえで、サポートが終わった古いバージョンなので、8.2以上への切り替えを検討しましょう

運営者のブログは、②でした。