みなさま、お疲れ様です。
今年もあと2ヶ月です。

今こちらは10月22日に書いているのですが、最近の出来事としては、え～、今渦中のあれですね。

PHP問題！

「何それ？」という方も、
「結局これって何！？」という方もいると思いますので、今回は少しだけ真面目にお勉強しましょう！

結論、これは防災の話なのです。

▼ ▼ ▼

さて。

今回の話でよく出てくる、『WordPress（ワードプレス）』ってそもそも何？
というところから。

WordPressというのは、簡単に言えば、
ホームページを作ったり、更新したり、管理したりするための仕組みです。

これがWeb制作では結構よく使われてるんですよ。

それこそむか～しむかしのホームページというと、専門的なコードを書ける人が一から作り、
文章を変更するだけでも制作会社にお願いしてお金を払わないといけない、ということが多くありました。

WordPressを使うと、ブログを書くような感覚で、文章を追加したり、
写真を変更したり、お知らせを更新したり、といったことが比較的簡単にできるようになります。

そして、ホームページ全体のデザインなどを決める「テーマ」や、お問い合わせフォーム、予約機能、SEO対策など、
色々な機能を追加するための「プラグイン」という仕組みがあります。

なので、かなり簡単に表現すると、
WordPress本体＋テーマ＋プラグイン
みたいな組み合わせで、一つのホームページが作られていることが多いです。

こちらの良い点は、Webサイトの更新を “コードが分からないお客様側” でも出来るので、
ランニングコストが安く抑えられる点にあります。

当社が制作しているホームページでも、WordPressを利用しているものも多くあります。

では、今回話題になった『PHP』とは何なのか。

これもかなりざっくり言いますと、
WordPressを裏側で動かしているプログラミング言語の一つ　です。

車で例えるなら、
WordPressが「車」だとすると、
PHPは、その車を動かすための「エンジンの一部」、くらいのイメージでいいと思います。

普段ホームページを見ていて、
「あ～これが君のPHPかあ、君のPHPは可愛い顔してるね」
というようにPHPを目にすることはほぼありません。完全に裏側です。

ただ今回、その裏方であるPHPに重大な脆弱性が見つかった。

これが今回の問題です。

今回のニュースを受けて、当社にも、
「うちのホームページは大丈夫ですか？」
「WordPressを使っているけど、何か対応した方がいいですか？」
というお問い合わせを、保守管理をご契約いただいているお客様以外からも多く頂きました。

ただ、今回問題になったのはWordPressそのものではなく、その下で動いているPHP側です。

なので、

「PHPの脆弱性が見つかった＝WordPressをアップデートすれば解決！」

という話ではありません。
ここが少しややこしいところです。

まず、XserverやCPIなどの一般的な『共用レンタルサーバー』を使っている場合、
サーバーそのものやOS、サーバー側のシステムなどについては、
サーバー会社側が管理し、セキュリティ対応を行っているケースが多いです。

これは共用レンタルサーバーを利用する大きなメリットでもあります。

自社でサーバーそのものを全部管理しているわけではないので、
何か脆弱性が出るたびに、私たちがサーバー内部へ入って修正プログラムを当てる、ということではありません。

まずサーバー会社が、「今回の脆弱性に対して、どのような対応をするのか」を確認することになります。

なので今回のような話が出た時に、
「すぐに自分でPHPを最新版にしなければ！パッチを当てなければ！」
と対応することが、求められている点ではない事です。

変な話、こちらはなにもせずとも、サーバー会社が対応して、終わり！というケースも多いのです。

で、ここからが今回一番ややこしかった部分です。

例えば、制作から何年も経過したホームページが、古いPHPで動いていたとします。
サーバー会社では、もっと新しいPHPが使えるようになっている。

では、「古いから新しいPHPに変更しましょう！」で終わるかというと、そこがそう簡単ではありません。

なぜなら、PHPのバージョンを変更すると、
今まで正常に動いていたWordPressやテーマ、プラグインなどが、新しいPHPに対応していない場合があるからです。

その結果、ホームページが表示されなくなったり、一部のページでエラーが出たり、
レイアウトや体裁が崩れたり、テーマが正常に動かなくなったり、お問い合わせフォームが動かなくなる。

あとは、管理画面に入れなくなる、などの不具合が起きる可能性があります。

なので、レンタルサーバー会社としても、
稼働しているホームページのPHPを、利用者の確認なく一律で勝手に新しいバージョンへ切り替えない
という運用になっていることがあります。

実際、よく聞く『Xserver』でも、
現在稼働しているサイトのPHPバージョンは “自動的には変更せず、利用者側で切り替える仕組み” になっています。

理由を考えれば当然で、
セキュリティのため、や新しいバージョンが出たので勝手にPHPを上げた結果、
ホームページが表示されなくなっていましたとなると、それはそれで大問題ですもの。

そして、ここでもう一つ重要なポイントがあります。

「古いPHPを使っている＝今回の修正パッチが当たっていない」とも、一概には言えません。

サーバー会社や利用しているPHPのバージョンによっては、大きなバージョン自体を変更せず、
セキュリティ上必要な修正をサーバー会社やOSベンダー側で適用している場合があります。

つまり、
見た目上は古いPHPのままでも、
今回問題になった脆弱性そのものには対策が行われているというケースもあり得ます。

その場合、少なくとも今回の脆弱性だけを理由に、
無理に新しいPHPへ変更しなければならないとは限りません。

ただし、これも注意が必要で、
古いPHPならどこでも何でもセキュリティ対応してもらえる、という意味ではありません。

なので、PHPそのもののサポートが終了し、
さらにサーバー会社側でもセキュリティ修正を提供していなければ、当然リスクは高くなります。

その場合は対応を考えねばなりません。

つまり今回大事なのは、

「PHPの数字が古いか新しいか」だけを見るのではなく、
そのPHPに対して、現在も誰かがセキュリティ修正を提供しているのか

ということです。
ここを確認しないといけません。

そして、一番怖いのが次のパターンです。

調べてみた。
↓
今使っているPHPは古い。
↓
しかも、そのPHPには今回必要なセキュリティ修正が提供されない。
↓
では、新しいPHPへ変更しないといけない。
↓
変更した。
↓
ホームページが動かなくなった。

これ！！！

さあ！
保守管理は依頼していないとします。

これは誰の責任でしょうか？

契約したサーバー会社でしょうか。
PHPを切り替えた人でしょうか。
昔ホームページを制作、納品した制作会社でしょうか。
それとも、ホームページの所有者であるお客様でしょうか。

ここが今回、かなり重要な問題なんだなと思いました。

PHPを変更する作業自体は、それほど難しくないのです。
指示に従ってボタンを押せば変更できることもあります。

でも、変更した結果、何かが壊れた時に誰が責任を持って直すのか。

ここまで考えると、
「じゃあPHPを上げておいてください！」　と簡単に言える話ではなくなります。

だからこそ、
長期間運用しているホームページほど、まず現状確認が重要になります。

＊どこのサーバーを使っているのか
＊PHPは何のバージョンなのか
＊そのPHPは現在もセキュリティ対応されているのか
＊WordPressは何のバージョンなのか
＊テーマやプラグインは何を使っているのか
＊誰がそれを管理しているのか

＊PHPを変更する必要が出た場合、誰が事前に動作確認をするのか
＊変更後にホームページが崩れたら、誰が修正するのか
＊何かあった時の問い合わせ先はどこなのか

ここまでをまず把握しましょう。

今回のPHP問題を通じて改めて感じたのは、
ホームページを作ることと、
そのホームページを何年間も安全に動かし続けることは、全く別の契約である
ということです。

ホームページは、
デザインを作って、文章を入れて、公開したら終わり！　ではありません。

その裏側では、
サーバーが動いて、PHPが動いて、WordPressが動いて、テーマがあり、プラグインがあります。

そして、それぞれが別々に更新されていきます。

だからこそ、

誰が何を管理するのか。
どこまでがサーバー会社の責任なのか。
どこからが制作会社や保守会社の責任なのか。
お客様自身で対応する範囲はどこなのか。

ここを、できれば問題が起きる前に決めておく。

契約や保守内容として、「責任の所在」を双方で認識しておくことは、
お客様にとっても制作会社にとっても、とても大事なことだと思います。

今回のような問題が起きた時に初めて、
「誰に聞けばいいんだっけ？」
「これは誰が対応するんだっけ？」
「壊れたら誰が直すんだっけ？」
となる状態が、一番怖いです。

大事なのは、
今、自分のホームページがどういう状態なのかを最低限把握できること。

そして、
何かあった時に、誰に確認し、誰が判断し、誰が対応するのか。
その対応ルートをあらかじめ作っておくこと。

私は今回の一連のやり取りを通じて、それが一番大事なんじゃないかなと思いました。
（なるほど、これは「防災」の考え方と同じなんだなと思いました）

▼ ▼ ▼

お勉強になりましたでしょうか！

というような私自身としても特に明るくない内容を調べ、
説明したり、説明されたり、会社方針を決めたり、をここ数日やっておりまして、

私の心身もだいぶ脆弱になって攻撃をうけやすい、ぴよぴよ状態になったと思いますので、

もしこちらのメルマガが送られている皆様のところに、
余っているお金や、処理に困っているお金があれば、引き取らせて頂きますし、

簡単そうで、利益率が高くて、納期にも余裕のある仕事などございましたら、
ぜひ当社に発注して頂けますと、それをパッチだと思って生きていこうと思いますので、

皆様引き続き宜しくお願い致します。

…ちなみに私個人の最近の出来事としては、
人生で初めて部屋をいい匂いにしようと思い、部屋用のディフューザー（２万円）をネットで買いまして、
そのディフューザーが臭すぎて最近あまり寝れておりませんが、高いのでまだ我慢しておいておこうと思っている、ことくらいです。

以上です。

それでは来月も頑張りましょう！