マニュアル・解説 › ニュース
PHP2Shellとは？WordPressへの影響と、いますぐ確認すべき5つのこと
PHP2Shellは、PHP本体に見つかった重大な弱点です。ログインしなくても、外からサーバーを乗っ取られる恐れがあります。危険度は10点満点中9.2点。PHPは世界のWebサイトの約7割で使われていて、WordPressもPHPで動いています。
何が起きたか
- 10月17日：公表前に、最初の攻撃の試みが記録される
- 10月21日：詳細の流出を受けて予定を早めて公表。修正版も公開
- 同日：公表から45分で数万件、2時間で数十万件の攻撃
- 10月23日：関連する弱点がもう1件見つかる（修正版なし）
- 10月26日：米国のサイバー防御機関CISAが「実際に悪用されている」と認定
なぜWordPressのサイトが危ないのか
弱点はWordPressではなく、その土台のPHPにあります。そのため、WordPressやプラグインを最新にしても直りません。PHP自体を修正版に上げる必要があります。
いますぐ確認すべき5つのこと
- サイトが使っているPHPの版を確かめる
- 修正版（8.2.35／8.3.36／8.4.27／8.5.12 以降）に上げる
- すぐに上げられない場合は、サーバー会社の応急処置の案内に従う
- 10月17日以降に、見覚えのないファイルが増えていないか確かめる
- 防御サービス（WAF）が攻撃を「ブロック」する設定になっているか確かめる
根本的な解決
PHPの弱点は、修正しても次々に見つかります。AIR RENEWは、サイトをPHPを使わない仕組みに引っ越すため、PHPの弱点そのものが関係なくなります。いまのサイトのPHPの版は、無料診断で確かめられます。