先日は、PHPの重大な脆弱性（通称：php2shell・セキュリティ上の弱点など）が話題になりました。
WordPressを利用しているホームページにも関係する問題だったので、保守管理を代行しているサイトについても状況を確認しました。
今回、管理している顧客サイトは、全てPHP 8.2以上（今回のPHP脆弱性の修正バージョンは、PHP 8.2.35、8.3.36、8.4.27、8.5.12）の環境で運用していました。レンタルサーバーを利用しているので、PHPの更新などのサーバー側で必要な作業についてはサーバー側がパッチを当ててくれたため、こちらで行う作業はありませんでした。
こちらでは、あらかじめバックアップを取って、PHPのバージョンやWordPressの更新状況を確認、ログも見てFTP上に不審なファイルがないかなどもチェックしました。
おかげさまで、今回の確認で不審なファイルは見つからなかったのでホッとしています。
大がかりな作業が発生したわけではないですが、一時的にサイトに503エラーが出て非表示になったりしていたので、不安にならないよう顧客へ状況を都度説明していました。こういう確認もホームページの保守管理の一つです。
PHPの脆弱性はWordPress本体の問題とは限らない
WordPressはPHPというプログラミング言語で動いています。制作する人以外は、普段は意識することがないPHPですが、システムを動かすためのプログラムです。身近なものではネットショップなど。
WordPress本体やプラグインに問題がなくても、PHP自体に脆弱性が見つかれば、サイトの運用環境にも影響する可能性があります。
今回のようにPHP自体に問題がある場合、WordPress本体やプラグインを更新するだけでは対策にはならないです。利用しているPHPのバージョンを確認して、サポート対応外ならレンタルサーバー側で更新する必要があります。
また、PHPにはサポート期間があります。古いバージョンを使い続けていると、脆弱性が見つかっても修正プログラムが提供されないことがあるので、普段からPHPのバージョンやサポート状況を確認しておくことが大切です。
WordPressの保守管理で確認していること
WordPressの保守管理というと、プラグインや本体の更新をイメージする方も多いと思いますが、それ以外にも確認していることがあります。
WordPress本体やプラグインは、機能の追加だけでなく、不具合や脆弱性の修正を目的として更新されることもあるので、更新状況を確認して最新の状態にアップデートをします。
ですが、更新すれば必ず問題が起きないわけではないです。更新によって表示や機能に不具合が発生する場合もあるので、更新後の確認も都度必要です。
PHPのバージョン確認
PHPのバージョンが古くなっていないか、利用している環境がサポートされているかを確認します。
レンタルサーバーによっては、PHPのバージョンを管理画面から変更できます。古いWordPressやプラグインが新しいPHPに対応していない場合もあるので、変更前にはサポート内なのか確認が必要です。
バックアップ
万が一、更新によって不具合が発生したときや、サイトに問題が起きた場合に備えてバックアップを取ります。WordPressでは、サイトのファイルだけでなく記事や設定などが保存されているデータベースの保存が分かれているので、これも必要です。
バックアップがあることと、必要なときに復元できる状態にしておくことも大切です。
サイトの表示確認
更新後にホームページが正常に表示されているか、主要なページやお問い合わせフォームなどに問題がないかを確認します。更新作業が終わっても、サイトの表示や機能に不具合が発生していることがあるためです。
不審なファイルや異常の確認
セキュリティ上の問題が話題になった際には、FTPなどでサイト内のファイルを確認します。今回も、管理しているサイトについて不審なファイルがないかを確認しました。
ファイルを確認して不審なものが見つからなかったからといって、侵入や被害がなかったと断定できず、潜伏して後々になってからハッキングされることもあります。サーバーのログやセキュリティ機能など、別の視点から確認しておいたほうがリスクは少ないです。
セキュリティ対策はプラグインだけじゃない
WordPressには、セキュリティ対策のためのプラグインがあります。私が保守管理しているサイトでも、SiteGuardなどのセキュリティ関連プラグインを導入しています。
ですがプラグインを導入していればすべての脆弱性に対応できるわけではなく、今回のようなPHP自体の脆弱性については、サーバーからPHPの更新が必要です。
WordPressシステム本体やプラグイン、PHP、レンタルサーバー。それぞれの役割や更新状況を確認することが大切です。
問題が起きていないことも保守管理の一つ
ホームページの保守管理は、保険とかと同じように、何か問題が起きたときに対応するだけではないです。普段から更新状況を確認して対応、問題が起きていないかを確認することも含まれます。
今回のPHPの脆弱性についても、管理しているサイトでは大きな作業は発生しませんでした。
保守管理を真面目にやればやるほど「今月は何も問題はありませんでした」と言う報告になりますが、何も作業がなかったというわけではなく、普段からメンテナンスをしていたので、今回の対応が確認中心で済んでいます。
保守管理の作業は「今月○件お問い合わせが増加しました！」のような、目に見えて分かりやすい効果は出ません。ですが、毎日きちんと問題なくホームページが表示され続けることが、自社の信用につながると思っています。
ホームページは、公開後も、WordPressやPHPなどの環境は変化し続けていきます。安全に運用を続けるためには、定期的な確認と必要な更新がいります。
自社のホームページを長く運用していくためにも、公開後の保守管理について考えておくことをおすすめします。
