こんにちは、エスワイシステム関東の中平です。
「緊急で」から始まった
10月の終わり、社内から「緊急で」と連絡があった。
PHPに重大な脆弱性が見つかったので、対応を相談できるページを会社のサイトに作りたい、という話だった。
10月21日に修正版が出た脆弱性で、外部からサーバーを操作されるおそれがある。
実際の攻撃も報告されている。
国内の大きなWebサービスでも、緊急メンテナンスが相次いだ。
PHPは、Webサイトの裏側でとても広く使われている言語だ。
自社のサイトがPHPで動いているかどうか、知らない人のほうが多いと思う。
パッチを当てる作業は、意外と短い
対応そのものは、言葉にするとシンプルだ。
修正版のPHPに更新する。
すぐに更新できないなら、公式が示す設定の変更で、ひとまずリスクを下げる。
サーバーに入れる人がいれば、作業自体はそう長くかからない。
ところが、ページに載せる「困りごと」を書き出してみて、手が止まった。
並んだのは、パッチの当て方の悩みではなかった。
-
保守の担当がいない。作った会社と連絡がつかない
-
古いPHPで、そもそも修正版が出ない
-
本番を止められない
-
どこでPHPが動いているのか分からない
どれも、パッチを当てる「前」の話だった。
いちばん厄介なのは、棚卸し
特に最後の一つが厄介だと思う。
会社のサイトは一つでも、PHPが動いている場所は一つとは限らない。
昔のキャンペーンサイト。
採用ページの問い合わせフォーム。
誰かが作った、社内の小さなツール。
作ったときの担当者はもう異動していて、サーバーの場所を知っている人がいない。
こうなると、脆弱性のニュースを見ても「うちは関係あるのか」に答えられない。
PHP 8.1以前はサポートが終わっていて、今回の修正版は出ない。
8.2も、今年いっぱいでサポートが終わる。
パッチで済むサーバーと、バージョンアップが要るサーバーが、たぶん混ざっている。
どこで、どのバージョンが動いていて、誰が面倒を見ているのか。
まずはそれを一覧にするところから始まる。
急いだときほど、足元が抜ける
ちなみに、このページは15分で作った。
急いで書いた文章を見た同僚が、僕の席まで来て言った。
「語尾、そろってないですよ」
見直したら、本当にバラバラだった。
急いだときほど、足元の確認が抜ける。
パッチも同じで、当てたつもりが反映されていなかった、ということが起きる。
急ぎの仕事ほど、最後に「本当に効いているか」を確かめたい。
自分のところのサーバーで、今どのバージョンのPHPが動いているか。
すぐに答えられるだろうか。
PHPの脆弱性への対応は、どこでPHPが動いているかの棚卸しからでもご相談いただけます。
著者情報
中平 裕貴（Yuki Nakahira）
株式会社エスワイシステム 関東事業本部
関東3SEシステム事業部 社会情報インフラ部
エバンジェリスト
『技術 × 事業戦略 × 組織運営をつなぐ実務家』
エンジニア・経営・営業を経て、技術とビジネスの橋渡し役を担ってきた。
現在は AI駆動開発を「コードを書かせること」ではなく、Goal → Loop → AI の順で仕事そのものを型にする実践として進めている。
仕事を構造化し、現場に価値が残る形で届ける。
🛠 技術領域
アプリ開発、クラウド、データ分析、AI、
📈 事業・営業経験
SI事業の拡大、プロジェクトマネジメント、アジャイル
🏗 組織マネジメント
リーダー育成、組織改革、チームビルディング
📩 お問い合わせ・お仕事のご相談はこちらから↓
