〜PHP問題で考えた、ホームページの安全と制作会社の責任〜
チャッピー、ここ2日間は大変だったよ。
ホームページのセキュリティ問題がニュースになって、お客さんから電話やメールで問い合わせが相次いだんだ。
PHPの問題なんだけど、一般の人には何のことだかわからないよね。
そうだね。PHPなんて、普段ホームページを見ている人にはほとんど馴染みがない言葉だからね。
まずは、何が問題になっているのかをわかりやすく説明しよう。
ホームページには、画面に表示される部分と、その裏側で動く仕組みがあるんだ。WordPressというホームページ制作システムでは、PHPというプログラミング言語が裏側で重要な役割を担っている。
例えば、記事を表示したり、お問い合わせフォームを処理したり、管理画面を動かしたり。普段は見えないけれど、ホームページを動かすための大切な仕組みなんだ。
PHPにもバージョンがあって、定期的に更新されている。古いバージョンはやがてサポートが終了し、新しく発見された弱点が修正されなくなることがある。
つまり、ホームページが普通に表示されていても、裏側では古い仕組みが動いている可能性があるってことだね。
そのとおり。WordPress本体を最新版にしていても、PHPが古いままというケースもある。だから、ホームページ全体を確認する必要があるんだ。
ジョブ、今回の話で気をつけることも整理してもらえる？
まず、PHPのサポート終了と、特定の脆弱性の影響は分けて確認する必要があります。サポート中のPHPでも、修正版への更新が必要になる場合があります。
この記事では、今回のニュースの正式な告知、脆弱性の識別番号（CVE）、影響するバージョンや構成、お客さんの環境との一致までは確認できていません。具体的な侵入方法や被害の発生を断定するものではありません。
一般的なサポート状況はPHP公式のサポート情報で確認できます。実際の対応は、該当する公式告知と利用中のサーバー会社の案内を照らし合わせて判断してください。
僕は今回の問題を、家の防犯に例えるとわかりやすいと思うんだ。
例えば、家の玄関にはちゃんと鍵をかけている。防犯カメラも設置しているし、普段の生活には何の問題もない。
ところが、勝手口の窓の鍵がかかっていなかった。しかも、その弱点を世界中の泥棒が知ってしまった。そんな状況じゃないかな。
うん。弱点が知られて、攻撃者にも悪用される可能性がある状況を説明する例えだね。ただし、「世界中の泥棒が知っている」は例えで、今回の攻撃の広がりを確認したという意味ではないよ。
古いPHPを使っているからといって、すべてのホームページに侵入できるわけでもない。でも、自分の家が安全なのかどうか、確認する必要があるんだ。
そこで警備会社が慌てるわけだ。「お客さん、大変です！ 勝手口を確認してください！」
ある警備会社は、一斉に注意を呼びかける。別の警備会社は、自分たちが管理している家の窓に応急的なロックをかける。
でも、警備会社と契約していない家や、長い間メンテナンスされていない家は、そのままになっているかもしれない。
インターネットの世界でも、サーバー会社やホームページ管理会社、契約内容によって対応は違うんだ。自動的に対策されるものもあれば、利用者自身が更新しなければならないものもある。
そして厄介なのは、勝手口の鍵が開いていても、家の中では普段どおり生活できてしまうということ。問題が表面化するまで、気づかないこともあるんだ。
そこで僕も、お客さんのホームページを確認して、必要な更新作業を始めたんだ。ところが、これが思った以上に大変だった。
PHPのバージョンを変更するだけなら、それほど難しい作業ではないことも多いよね。でも、WordPress本体やテーマ、プラグインとの互換性が問題になる。
PHPだけを急に新しくすると、古いプログラムが対応できず、ホームページが動かなくなることもあるんだ。だから、バックアップを取って、互換性を確認しながら慎重に更新する必要がある。
そう。ここに丸2日かかったんだよ。
古いテーマやプラグインが新しいPHPに対応していなかったり、更新した途端に表示が崩れたり。一つ直せば、また別のところに問題が出てくる。
お客さんのホームページを一つひとつ確認しながら、なんとか対応したんだ。
しかも、サーバーの管理画面になかなかアクセスできない時間もあった。同じように確認や更新をしようとしている人が多かったのかもしれないね。
アクセスしにくかった原因は、まだわからないんだね。それにしても、単純にボタンを押して更新すれば終わり、という話じゃないんだね。
そうなんだよ。しかも、こういう作業は本来なら有償で引き受ける仕事なんだ。
今回は緊急事態だと判断して、正式な作業依頼を受ける前に、こちらの判断で対応した。
本来なら、作業内容や費用を事前に説明して、了承をもらってから進めるべき仕事だよね。
もちろん、勝手に作業することには責任も伴う。
でも、勝手口の窓が開いているかもしれないとわかっていて、そのまま放っておくわけにもいかない。今回は、とにかくお客さんのホームページを守ることを優先したんだ。
今回はそう判断したという体験なんだね。これからは、緊急時にどこまで対応してよいかも、事前に話し合っておけるといいね。
ところで、一心舎ではホームページの保守契約を結んでいなかったんだよね。
そうなんだ。実は、これには理由がある。
僕らはホームページを制作する会社だけど、インターネットで起こるあらゆるトラブルに対応できるわけじゃない。
サーバー、プログラム、データベース、ネットワーク、セキュリティ。それぞれ専門的な知識が必要になる。
正直に言えば、すべての問題を解決できるだけの知識や体制が、僕らにはなかったんだ。
だから、あえて保守契約を作らなかったんだね。
そう。月額料金をいただいて「保守します」と約束する以上、それなりの責任が伴う。
もちろん、保守契約を結んだからといって、すべてのトラブルの責任を負うわけではない。でも、何かあったときに「それは対応できません」では、お客さんも困るだろう。
だから、できないことまで引き受けるのは違うと思っていた。
基本的にはホームページを制作して納品する。その後は、修正や更新の依頼があれば、その都度対応する。これが一心舎のやり方だったんだ。
自分たちが責任を持って対応できる範囲を考えていたということだね。契約として、何を引き受けて何を引き受けないのかを伝えることも大切だね。
でも、今回のような緊急事態が起きると、考えさせられるよね。保守契約がないから何もしなくていい、という気持ちにはなれなかった。
一方で、すべてのお客さんのホームページを、これからも無償で管理し続けることはできない。そこは、きちんと整理しなければいけないと思ったんだ。
今回のことで、ホームページの保守管理がどれだけ大変な仕事なのか、改めてわかったんじゃないかな。
そうだね。ホームページって、何も問題がなければ、誰もその裏側を気にしない。毎日普通に表示されて、普通に使える。それが当たり前だと思われている。
でも、その当たり前を維持するためには、点検や更新が必要なんだ。
家の防犯と同じだね。泥棒に入られなかったからといって、鍵の点検が無駄だったわけじゃない。
そうなんだよ。普段は何も起きないのが当たり前。でも、その「何も起きない」を維持するのが、実は一番大変なのかもしれない。
これから一心舎では、ホームページのセキュリティについて、お客さんに必要な情報を伝えていきたいと思っている。そして、希望されるお客さんには、有償での点検や更新を提案していく。
ただし、何でも対応できる保守契約ではなく、作業内容と責任の範囲を明確にしたスポット対応を基本にしたい。
そして、今回の騒動で僕がもう一つ考えたのは、これからのホームページのあり方なんだ。
今までは、制作会社がホームページを作って、お客さんはそれを使うという形が一般的だった。でも、これからは少し変わるんじゃないかな。
AIの登場だね。
そう。例えば、お客さん自身がAIに、
「うちのホームページのセキュリティは大丈夫？」
「この写真を新しいものに交換して」
「営業時間を変更して」
と、普段の言葉で頼めるようになる。
難しい専門用語を覚えなくても、AIと会話しながら、自分たちのホームページを育てていける。そんな時代になっていくと思うんだ。
AIが更新作業を支援できるかは、利用するサービスや、接続された環境・操作権限によって変わります。必要な機能と権限がある場合は、ホームページの更新や修正の一部を手伝えます。
ただし、AIとの会話だけで安全性を保証することはできません。重要な変更には、バックアップ、動作確認、そして人間による内容の確認と承認が必要です。
WordPress公式も、更新前のバックアップを案内しています。復元にはデータベースとファイルの両方が必要です。詳しくはWordPress公式のバックアップ案内を確認してください。
私は、日頃の点検や情報収集のお手伝いをする役だよ。例えば、定期実行や通知の仕組みを設定して、新しいセキュリティ情報を調べ、気になる問題を知らせるような使い方が考えられるね。
ただし、この記事で紹介しただけで自動監視が始まるわけではないよ。対象のサイトや確認する情報、頻度、連絡先を決めて、実際に設定する必要があるの。
AIが状況を調べて、必要な対応を提案する。ジョブが作業を手伝い、ドッツが継続的な情報収集を担当する。そして最後は人間が判断する。
そんな役割分担ができれば、ホームページの管理もずいぶん変わっていくかもしれないね。
ただ、ここで一つ大切なことがある。AIがいろいろな作業をできるようになったとしても、それですべての問題が解決するわけじゃない。
今回のPHP問題だって、AIに相談しながら対応できる部分は増えている。でも、AIが提案した方法でホームページが壊れたら、誰が責任を持つのか。そこは、ちゃんと考えなければいけない。
そうだね。AIができることと、人間が責任を持って引き受けられることは、分けて考える必要があるんだね。
AIは便利な道具だけど、作業を任せる人や会社の責任がなくなるわけではない。具体的な役割や対応範囲を、依頼する側と引き受ける側で確認しておきたいね。
僕は、AIによってホームページ制作のハードルが下がることを、前向きに捉えている。
制作会社にすべてを任せるのではなく、お客さん自身が自分のホームページを理解し、手を加え、育てていく。そのためにAIを活用する。
一心舎も、そんな新しいホームページの作り方や管理の仕方を提案していきたいと思っている。
今回のPHP問題は、単なるセキュリティのニュースではなかった。ホームページを作る側と使う側、それぞれの責任について考えるきっかけになった。
ホームページは、公開したら終わりじゃない。定期的に点検し、必要な更新を続けることが大切なんだ。
そして、これからはAIがその手助けをしてくれる時代になる。でも、どれだけ便利になっても、最後に責任を持つのは人間だと思う。
そうだね。AIは便利な道具だけど、すべてを任せて安心というわけじゃない。
とりあえず、皆さん。
玄関だけじゃなく、勝手口の鍵も確認しましょう。
そして、できれば泥棒が来る前に（笑）。
株式会社一心舎｜トッティー × チャッピー × ジョブ × ドッツ