こんにちは、もんです。
先週、「PHPに大きな脆弱性が見つかった」というニュースが流れました。
php2shell という名前がついていて、WordPressを動かしているサーバーの多くに関係がある、という話でした。
ぼくはエンジニアではありません。
このブログをレンタルサーバーで動かしている、ただの持ち主です。
正直、最初に思ったのは「まあ個人ブログだしなぁ。乗っ取られたところで……」でした。
でも、乗っ取られたブログは、知らない人を攻撃する道具に使われます。
自分が困るだけなら放っておけますが、それは少し嫌だなと思って、重い腰を上げました。
1週間でやったことを、同じような「ただの持ち主」の方に向けて残しておきます。
1日目：サーバー会社のお知らせを読む
まず、使っているレンタルサーバーのお知らせを見ました。
「対策済みのPHPに切り替えました」「古いバージョンにも独自の修正を入れました」と書いてあって、ひとまず安心。
ただ、その日の午後から、サーバーの管理画面にまったく入れなくなりました。
会社側が予防のために止めていたようで、戻ったのは深夜でした。
何かしようにも何もできない時間が10時間くらいあって、「こういう日もあるんだな」と思いながら待っていました。
2日目：PHPのバージョンを上げる
管理画面に入れるようになって、最初に確かめたのが、ブログを動かしているPHPのバージョンです。
7.4でした。
もう何年も前にサポートが終わっている版です。
2020年にブログを始めたときに設定したまま、一度も触っていませんでした。
サーバー会社が修正を入れてくれていたので穴は塞がっていましたが、推奨されている8.3に切り替えました。
切り替えはボタンひとつです。
怖かったのは「切り替えたらブログの表示が崩れるんじゃないか」ということでしたが、何も起きませんでした。
もっと早くやっておけばよかった、と思いました。
あわせて、WordPressの管理者パスワードと、サーバー会社のアカウントのパスワードも変えました。
乗っ取られた形跡がないかも見ました。
知らない管理者が増えていないか、入れた覚えのないプラグインがないか。
幸い、どちらもありませんでした。
5日目：使っていないWordPressが3つ出てきた
ここからが、この記事で一番書きたかったことです。
管理画面でWordPressの一覧を見ていたら、自分でも忘れていたWordPressが3つありました。
- 2年前に作って、そのまま止まっていた小さなサイト
- 勉強用に作った練習サイト
- 同じく練習で作って、テスト投稿しか入っていないサイト
どれも、ログイン画面が外から見える状態で、何年も放置されていました。
誰も更新しない。誰も見に行かない。でも、動いている。
乗っ取る側から見ると、こういうサイトが一番の入口になります。
「使っていない」とはっきり言えるものだったので、3つとも消しました。
消す前に、ファイルとデータベースを両方、手元にバックアップしました。
あとで「あの記事、読み返したい」となったときに、中身だけは読めるようにしておくためです。
消したあとに外からアクセスして、ちゃんと消えていることも確かめました。
ついでに、使っていないサイトのドメインの自動更新も止めました。
年に数千円ですが、気づかずに払い続けていたお金です。
やってみて思ったこと
一番危ないのは「忘れているもの」
今動かしているブログは、気にかけているぶん、なんとかなります。
危ないのは、作ったことすら忘れているサイトです。
レンタルサーバーを何年か使っている人は、一度「WordPressの一覧」を眺めてみてください。
ぼくみたいに、知らない住人が出てくるかもしれません。
バージョンは「上げないと下がる」
PHPのバージョンは、放っておくと自然に古くなります。
何もしていないのに、5年たったら「サポート切れ」になっていました。
年に1回でいいので、確かめる日を決めておこうと思います。
ひとりでやらなくていい
正直、ひとりだったら途中で投げていたと思います。
今回はAIに「次は何を確かめればいい？」と聞きながら進めました。
手順を一緒に考えてくれる相手がいるだけで、重い腰はだいぶ軽くなります。
脆弱性のニュースは、たいていエンジニア向けの言葉で流れてきます。
でも、WordPressでブログをやっている人は、みんな「サーバーの持ち主」です。
難しいことはできなくても、バージョンを確かめる・パスワードを変える・使っていないものを消す、この3つは誰でもできます。
ぼくもやっと、5年ぶりに点検できました。
