自社サイトを止めると決められたのは誰か？
21日の17時30分ごろだった。IPAのサイトに、見慣れない見出しが出ていた。
事前準備のお願い――。
PHPのセキュリティリリースを、その日の23時に公開する予定だという告知だった。対象の脆弱性は2件。詳細はまだ伏せられていた。CERT-EUの情報として、PHP 5以降が影響を受けると添えられていた。
ページを閉じる前に、提携しているサーバー会社へ連絡を入れた。預かっているメディアは10を超える。サーバーの構成は、ひとつとして同じものがない。修正版が出ても、一斉には当てられない。
先に決めたのは、順番と、待つあいだの扱いだった。メルマガや記事の有料販売をしているメディアは、修正が終わるまで止める。決済と会員の情報を抱えているところから守る。最後のメディアの対応を終えたのは、翌22日の12時ごろだった。
昨夜、高市首相が自身のXに投稿した。今夜のうちに対応してほしい、という呼びかけだった。すぐに修正を当てられない場合は、ウェブサイトを一時的に止めることも有効な手段の一つだ、とも書かれていた。国家サイバー統括室も同じ趣旨を発信していた。
報道によれば、脆弱性は2件とも、認証なしで外部から任意のコードを実行されるおそれがあるものだった。情報は修正版の公開前に流出し、攻撃コードも出回っていた。修正版はその夜のうちに公開された。大手から中小まで、多くのサービスが緊急メンテナンスに入った。
あの投稿で一番判断が難しかったのが、修正の呼びかけではない。止めてもいい、という一文だった。
修正を当てるのは技術の仕事で、サイトを止めるのは経営の判断だ。問い合わせが止まる、有料の記事なら売上が止まる、読者からは媒体そのものが見えなくなる……。その損失と、乗っ取られる危険を天秤にかけて、止めると決める。その判断を技術者に背負わせるのは酷で、そもそも彼らには権限がない。
あの夜の22時、自社サイトを止めると言えた人が社内にどれくらいいただろうか。多くの会社で、答えは曖昧になるはずだ。サーバーは別の会社と契約している、社内の担当者は異動した、保守契約はあったはずでも夜間の対応は不可なんてところもあっただろう。
誰も悪くないけど、誰も決めることができず、その間にも時計は進んでいた。
修正は、構成の数だけ手間がかかる。誰がいつどんな構成で作ったのか分からないサイトほど、当て終わるまでの時間は延びる。その時間のあいだ、どこを止め、どこを動かしたまま守るかを決め続けることになる。
止め方についても書いておきたい。ここから先は、SEOの領分になる。
「メンテナンス中」の案内ページに差し替えて、通常のページと同じ応答を返してしまうと、検索エンジンはそれをサイトの新しい中身として扱いかねない。一時的に止めるなら、「いまは一時的に応答できない」ことを示す503というステータスで返す。これがGoogleの推奨するやり方で、短期間の停止であれば検索順位への影響は限られる。
万が一侵入された場合の傷は、比べものにならないほど深い。2024年には、大分大学のサーバーがPHPの脆弱性を突かれて改ざんされた。Googleの検索結果が汚染され、海外のサイトへ誘導される被害が出ている。媒体名で検索した結果を乗っ取られれば、ブランドの信用ごと持っていかれる。
止めるか、止めないか。どう止めるか。どちらも、検索の問題でもある。
PHP 8.2のセキュリティサポートは、2026年12月31日で終わる。今回は8.2にも修正版が出た。年が明ければ、同じことが起きても修正版は出ない。IPAも告知の中で、サポートの切れた古いPHPを使い続けているサイトが見受けられると書いていた。
今週のうちに、三つだけ確かめてほしい。
- 自社サイトのPHPのバージョンとサポート期限、そしてサーバーの構成を、誰が把握しているか
- サーバー、制作、保守、それぞれの契約先と、夜間に連絡がつく窓口
- サイトを止めると決められるのは誰か。何を基準に止めるのか。その人が不在のとき、代わりは誰か
一つでも答えに詰まったら、そこが次の穴になる。
ヴィヴァルディ・インクは、提携するサーバー会社と組んでサイトの保守を請け負っているいます。PHPのバージョンが分からない、保守の窓口がはっきりしない……そんな段階からでも構いません。