PHPの脆弱性（PHP2Shell）、エックスサーバーのWordPressは何をすればいい？｜公式の発表から、確かめる3つをまとめました
- 著者
ゆきしょう
こんにちは、ゆきしょうです。
PHPに、外からサイトを乗っ取られるおそれのある脆弱性が見つかりました。
エックスサーバーでWordPressを動かしている人が、何をすればいいかを書きます。
エックスサーバーのレンタルサーバーなら、急いでPHPを切り替えなくてよい
エックスサーバーが、自分たちでPHPを直したからです。
お知らせによると、PHP 8.2〜8.5は同じ系列の修正版に更新されました。
サポートが終わったPHP 5.1〜8.1にも、番号は変えないまま修正が当てられています。
そのうえで、急いでPHPのバージョンを変える必要はない、と書かれています。
ただし、使い方によっては追加の対策を頼むことがあり、そのときは改めて案内するそうです。
対象には、XServerビジネスとXServer for WordPressも入っています。
今回のPHPの脆弱性で起きること
ログインなしで、外からサーバーの上で好きなプログラムを動かされるおそれがあります。
脆弱性は2つで、深刻さを表す点数（CVSS）はどちらも9.2です。
開発元は、どちらも「Critical」の段階としています。
見つけた人たちは「PHP2Shell」と呼んでいて、IPAやアメリカのCISAもこの名前を使っています。
PHPの開発元は、Webのリクエストを受けるすべてのPHPが対象だとしています。
修正版は、8.5.12・8.4.27・8.3.36・8.2.35の4つです。
8.1以前は、開発元の通常の更新が終わった版です。
今回は、7.4〜8.1向けに最小限の修正コードだけが出ました。
CISAは、実際に悪用された脆弱性の一覧に、どちらも載せました。
JPCERT/CCも、悪用を試みる通信を見たという報告が相次いでいる、と追記しています。
PHPにおける複数の脆弱性に関する注意喚起（JPCERT/CC）
WordPressやプラグインを更新しても直らない
脆弱性があるのはPHPそのもので、WordPressの側ではないからです。
PHPはWordPressが動くもとになっている言語で、使える版はサーバーで決まります。
開発元は、修正版に上げることが唯一の完全な対策だとしています。
設定で弱める方法も書かれていますが、すべての攻撃を防げるものではありません。
レンタルサーバーでは、PHPはサーバーの会社が用意しているものです。
エックスサーバーが止まって、私の作業も足踏みした
修正版が出る日の午後から、エックスサーバーは公式サイトと管理画面を止めました。
私はちょうど、WordPressのサイトを別の場所へ移す作業の途中でした。
エックスサーバーも止まっていて、作業が足踏みしました。
止めたのは予防のためで、不正アクセスがあったからではない、と書かれています。
サイトの表示とメールの送受信には、影響が出ていないそうです。
使っているアフィリエイトの会社からも、知らせが届きました。
広告主の緊急メンテナンスで、広告の停止の案内が直前や後になるかもしれない、という内容です。
確かめるのは3つ
次の3つです。
- 契約しているのが、レンタルサーバーかVPSか
- サーバーパネルの「PHP Ver.切替」で、ドメインごとのPHPのバージョン
- エックスサーバーのお知らせに、追加の対策の案内が出ていないか
WordPressの管理画面でも、「ツール」→「サイトヘルス」→「情報」→「サーバー」でPHPのバージョンが見られます。
ここに出る番号は、サーバーの会社の直し方で変わります。
エックスサーバーでは、8.2〜8.5は修正版の番号に上がりました。
8.1以前は、番号は変えないまま修正が当てられています。
ConoHa WINGのように、全部の版を番号のまま直した会社もあります。
8.1以前のPHPのままなら、上げる準備をしておく
今回は直してもらえましたが、開発元の通常の更新はもう終わった版だからです。
切り替えは、同じ「PHP Ver.切替」の画面で、変更後のバージョンを選んで行います。
切り替える前に、テーマとプラグインが新しいPHPで動くかを確かめておきます。
この確かめと切り替えに手が回らないなら、保守サービスに任せる方法もあります。
WP保守ガードは、動作確認とバックアップをしてから、PHPのバージョンを上げてくれます。
ライトプランは初期費用33,000円・月額14,300円（税込）で、PHPのバージョンアップも入っています。
VPSで動かしている人は、自分で更新が要る
エックスサーバーのVPSには、エックスサーバーがPHPの修正を当てていません。
OSやPHPは、借りた人が自分で管理する決まりだからです。
VPSでWordPressを動かしている人は、PHPを修正版に上げるところまで自分でやります。
この手入れを自分で持ちたくないなら、PHPの更新をサーバーの会社が受け持つレンタルサーバーを選ぶ手があります。
エックスサーバーには、WordPress専用のXServer for WordPressもあります。
レンタルサーバーとは別に、WordPressから仕組みごと移す、というやり方もあります。
私はこのブログを、WordPressからEmDashへ移しました。
EmDashは、WordPressをAstroという別の仕組みで作り直したものです。
移して分かった良いところ・悪いところは、こちらです。
エックスサーバーのSSL証明書の期限が短くなる話は、こちらです。
サーバー代で迷っている人は、こちらも読んでみてください。
以上、PHPの脆弱性で、エックスサーバーのWordPressがやることをまとめた話でした。
