今回のPHPの問題とWordPressの問題は別だと思うのだが．．|Ordinary Life -保護猫モモとの暮らし、ライフハックなど-

今回のPHPの脆弱性の問題。

先日（以下）の日記の文末で書いた通り、こうした脆弱性に対する対応については、発見された段階ではなく対処した後で発表されるのが一般的。でも今回は、サーバーサイドの対処が必要であり、かつ、サポート対象外となっている何世代も前の旧バージョンには対応しないことによって、脆弱性が残ったままになってしまうサイトやアプリがあることから、事前に脆弱性が発見されたことを公にした。

でもこれが、実験して脆弱性を突いた攻撃ができたとする情報がSNSで投稿され、拡散されたことで、一気に危険度が増したという珍しいケースである。

一連のサイバー攻撃（情報漏洩）で私たちユーザーができることはほとんどないという事実

これに対して世界の40%近くのホームページの運営ツールとして使われているWordPressというサイト運営ツールがPHPをプログラム言語として使用していることから、「PHPを使用しているWordPressは危険」というさらに誤った認識が広がった。

PHPを使用したサイトやアプリの中にはWordPressを使わないものも多数あり、また、今回のように公に広がる順番が誤ったケースでなければ、その他の言語やソフトウェア、身近なところではWindowsのアップデートや今このページを見ているウェブブラウザでも同じことが起きていて、ユーザーは何の気なしにWindowsアップデートやブラウザプログラムの更新などをしているはずなのに、順が逆になっただけでこれだけ恐ろしいものという広がりを見せたというのが今回の顛末。

修正プログラムが公開されてすぐ、少なくとも日本国内の信頼あるレンタルサーバーでは、夜を徹して更新が行われ、恐らく次の日の夕方位にはほぼすべてのサーバーで対応が完了している。

ただこれは、前述したようにサポート対象外となるPHPのバージョンには適用されていないので、対象外となるバージョンを使用して稼働しているサイトやアプリでは、新しいPHPバージョンに対応するプログラムへの修正に追われていて、未だに再開していないというのが現状なのである。

そんな中、あまりにも影響が大きかったことから、急遽旧PHPバージョン用のパッチ（要するに穴を塞ぐためのバンドエイドみたいな役割を持つプログラム）が公開されたことで、サーバー側が旧バージョン用のパッチを適用させる対応をするのかどうかによって、サイトやアプリのプログラムを書き換えるか否かという判断もしにくくなり、余計に対応に時間がかかっているのだろう。

話を少し戻す。今回やり玉に挙がったWordPressというツールだが、このサイトもWordPressを使って運営している。

WordPressに関しては、現在最新のPHP8.5でも動作するし、PHP8.3より前のバージョンは非推奨ではあるが一番古いバージョンではPHP7.4でも動作するように設計されている。つまり、サーバー側がPHP7.4に対する修正パッチを導入していれば、WordPressとしてのセキュリティ上の問題は出る可能性があるものの、今回のPHP自体の脆弱性については対処できるということになる。

ただ、今回の問題を受け、皆が慌ててPHPのバージョンを8.3以上に変更したことで、WordPress本体ではなく、テーマに書かれたコードや使用しているプラグインに書かれているコードがそのバージョンに対応していないためにエラーが大量に発生して修正に追われるケースが発生していて、これもPHPを使用しているWordPressが悪いという誤った風潮になっているのだろう。

個人でサイトを立ち上げるためにWordPressを使っていて、WordPress本体のバージョンだけでなく、変わっていくPHPのバージョンも変えていく必要があるということを知らない人は、そもそもWordPressというものを使用すること自体が危険なので論外だと思うが、WordPressを使って誰かのサイトを費用をもらって制作する側が、後々PHPおよびWordPress本体、プラグインやテーマの更新やコードの修正などが発生すること自体を伝えていないことが、問題をさらに大きくし、「WordPressは危険」という誤った認識につながったのだと思う。

先程このサイトはWordPressで運営していると書いたが、このサイトおよび私が個人で運営するサイトについてはすべてPHPバージョンは最新、WordPress本体やテーマ・プラグインも常に最新の状態にし、エラーが吐かれていないかを定期的に監視し、問題があれば修正をするというメンテナンスをしている。

そうしていれば、PHPなどのソフトウェアはサーバーサイドで対処してもらうしかないにしても、WordPress以上にきちんとメンテナンスや改良がされ、簡単にサイトが運営できるツールは他にないのではないかと思う。

最近ではSNS上で、WordPressのようなPHP＋データベースは止めてHTMLのみのサイトにすればいいという話も出てくるが、HTMLのみで、日常の日記や更新情報などが簡単にできるようにする方法を少なくとも私は知らない。GitHubに渡して．．とか、その他どこかのサービスを介して．．みたいなのも見るが、結局それはそれらのサービスが脆弱性が全くなく安全であるという前提でしかなく、むしろ外部のサービスといくつも連携をさせることで脆弱になるのでは？とさえ思う。

私は今後もきちんとメンテナンスしながら、WordPressというツールを使い続けるだろうし、本当にこのツールを開発・メンテナンスしてくれている有志の方に感謝しかない。

多分今回SNSでWordPress排除論を唱えている人が別のツールやサービスを紹介し、それを見てWordPressからそれらへ乗り換えた人がたくさん出現すれば、ハッカーはそれらのツールの攻撃をしかけるだろう。

そうなった時にどんなことを語るのかを見てみたいところだが、そういう輩は多分自身の商売上で話をしているだけなので、またそのツール排除論を平気で唱えるのだろうな。