PHPの脆弱性とは？ホームページで確認したいこと
ホームページを動かす仕組みのひとつに「PHP」があります。
PHPに、セキュリティ上の弱点（脆弱性）が見つかることがあります。
こうした弱点が悪用されると、ホームページを書き換えられたり、保存されている情報が外部に漏れたりするおそれがあります。
この記事では、PHPとは何か、なぜ更新が必要なのか、ホームページの管理で確認しておきたいことを分かりやすく解説します。
1.PHPの脆弱性とは？
PHPは、WordPressなど、多くのホームページを動かすために使われている仕組みのひとつです。ページを表示したり、お問い合わせフォームを動かしたりするために使われています。
このPHPに、悪意のある人に利用されるおそれのある弱点が見つかることがあります。こうした弱点を「脆弱性（ぜいじゃくせい）」と呼びます。
弱点が悪用されると、ホームページの内容を書き換えられたり、保存されている情報が外部に漏れたりする可能性があります。
ただし、弱点が見つかったからといって、必ず被害が起きるわけではありません。まずは、自分のホームページに関係する問題なのかを確認することが大切です。
ホームページを狙う攻撃
PHPの弱点が悪用される
ホームページに被害が出るおそれ
2.サーバー・ドメイン・ホームページの関係
ホームページを表示するには、主に「サーバー」「ドメイン」「ホームページのデータ」が関係しています。それぞれの役割を知っておくと、どこを確認すればよいか分かりやすくなります。
- サーバー（レンタルサーバー）
ホームページのデータを保管し、インターネット上に表示するための場所です。
- ドメインhttps://example.com
ホームページの住所にあたるものです。たとえば「example.com」のような文字列です。
- ホームページのデータ
文章や写真、ページのデザインなど、ホームページを作っている中身です。
PHPは、サーバー上で動き、ホームページの表示や機能を支える仕組みのひとつです。そのため、PHPに弱点が見つかった場合は、サーバー側で使われているPHPについて確認する必要があります。
3.なぜPHPの更新が必要なの？
PHPに弱点が見つかると、その弱点を修正した新しいバージョンが公開されることがあります。古いバージョンを使い続けると、すでに知られている弱点が残り、攻撃に利用されるおそれがあります。そのため、使っているホームページに合ったバージョンへ更新することが大切です。
古いPHPを使っている場合
- すでに知られている弱点が残っていることがある
- 弱点を悪用されるおそれがある
- 古い仕組みが原因で、不具合が起きる場合もある
対象の弱点が修正されたPHPを使っている場合
- 対象となる弱点が修正されている
- その弱点を悪用されるリスクを減らせる
- 対応する環境で、安定して動くことが期待できる
※新しいバージョンに更新すれば、すべての危険がなくなるわけではありません。WordPressや追加機能なども、適切に管理する必要があります。
4.レンタルサーバー会社が攻撃されたらどうなる？
PHPの更新とは別に、ホームページのデータを保管しているサーバー会社が攻撃を受ける可能性もあります。たとえば、サーバー会社の管理システムに不正に侵入され、保存されているデータや管理情報にアクセスされるケースです。その場合、状況によってはホームページを書き換えられたり、情報が外部に漏れたりするおそれがあります。
ただし、サーバー会社が攻撃を受けたからといって、そこにあるすべてのホームページに被害が出るわけではありません。被害の広がり方は、サーバー会社がどのような対策をしているか、ホームページごとにデータや操作できる範囲が分けられているかなどによって変わります。
攻撃する人サーバーや管理システムへの侵入を試みる
レンタルサーバー会社のシステム不正に侵入された場合、設定によっては保管されているデータなどに影響が出るおそれがある
ほかのホームページにも影響が出るかどうかは、サーバーの仕組みや対策によって異なる
被害を抑えるための対策
- ホームページごとに、操作できる範囲が適切に分けられている
- サーバーや管理システムに必要な対策がされている
- 不正なアクセスを防ぐ仕組みが使われている
- 問題が起きたときに戻せるよう、バックアップが保管されている
※こうした対策があっても、すべての被害を防げるわけではありません。利用しているサーバー会社の公式サイトで、セキュリティ対策や障害・不正アクセスに関するお知らせを確認しましょう。
5.どんなホームページが影響を受けるの？
影響を受けるかどうかは、使っているPHPのバージョンやホームページの仕組みなどによって異なります。次の項目を確認し、自分のホームページが対象になるか調べましょう。
| 確認すること | 確認したい内容 |
|---|---|
| PHPのバージョン | 弱点が見つかったバージョンを使っていないか |
| サーバーの情報 | サーバー会社が提供するPHPの更新状況 |
| ホームページの仕組み | WordPressなど、PHPを使う仕組みで作られているか |
| 追加機能など | プラグインやデザインの仕組みに更新が必要なものがないか |
※PHPを使っているホームページが、すべて同じ影響を受けるわけではありません。対象となるバージョンや条件は、個々の弱点について公開されている情報を確認する必要があります。
6.考えられる被害
弱点が悪用された場合、ホームページの仕組みや攻撃の内容によって、次のような被害が起きる可能性があります。
ホームページを書き換えられる掲載している文章や画像を勝手に変更されたり、知らないページを追加されたりするおそれがあります。
情報が外部に漏れる不正にアクセスされることで、ホームページに保存されている情報が外部に漏れる可能性があります。
不正なプログラムを仕込まれるホームページの仕組みや設定によっては、悪意のあるプログラムを設置されるおそれがあります。
検索結果に悪影響が出る知らないページや不正な内容が追加されると、検索結果に悪影響が出る可能性があります。
※これらは考えられる被害の例です。弱点が見つかっただけで、必ず被害が起きるわけではありません。
7.まず確認しておきたいこと
何から始めればよいか分からない場合は、次の3つから確認してみましょう。
- 01PHPのバージョンを確認する
レンタルサーバーの管理画面などで、使っているPHPのバージョンを確認します。そのバージョンが今回の弱点の対象になるか、公式に公開されている情報と照らし合わせて確認しましょう。
- 02更新や修正のお知らせを確認する
PHPやサーバー会社から、更新や対応方法についてのお知らせが出ていないか確認します。何をすればよいか分からない場合は、サーバー会社やホームページの管理担当者に問い合わせましょう。
- 03ホームページ全体の更新状況を確認する
WordPressを使っている場合は、本体や追加機能、デザインの仕組みが古くなっていないかも確認しましょう。更新する前には、バックアップを取り、ホームページが正常に動くか確認できるようにしておくとよいでしょう。
※更新によって、ホームページの表示や機能に影響が出る場合もあります。操作に不安がある場合は、無理に変更せず、制作会社や管理担当者に相談してください。
8.自分のホームページを確認する
自分のホームページについて、何を確認すればよいか分からない方は、まず無料チェックをお試しください。ホームページのURLを入力すると、公開情報から確認できる範囲で、サイトの状態をチェックできます。
※無料チェックで確認できるのは、外部から見える公開情報の範囲です。サーバー内部の設定や、外部から分からないPHPのバージョン、すべての弱点を確認できるわけではありません。結果は、ホームページ全体の安全性を保証するものではありません。ご自身のサイト、または管理者の了承があるサイトでご利用ください（利用規約）。
もっと詳しく調べたい場合や、修正・復旧について困っている場合もご相談いただけます。相談する