PHP大騒動(1) Web停止と、SynologyDSMのUpdate

色々と書きたい記事が大量にスタックしてしまう・・・本当ならオーディオやロードの記事を書きたかった所なのですが、今回はこの緊急性の高い記事をスキップしては通れますまい。

今回、世界中を震撼させ混乱の渦へ陥れたPHP騒動。これにより私も無影響で済むわけもなく。家庭内環境ですったもんだした大騒動の様子を、何回かに分けて綴っておきます。

そもそも、phpとは何なのか？　：Webサイトの裏側で動くプログラムを作るための言語です。ほとんどのウェブサービスがなんらかの形でPHPを利用しています。htmlが見た目を制御するものだとしたら、phpはその後ろ側で動くシステムや制御を担っています。会員登録、ECサイトの販売制御、DBアクセス・・・もちろんPHPを使わなくともウェブサイト構築は可能ですが、どんなサービスでも大なり小なり少しは使ってしまうものです。それがPHP。

だから、今回の大騒ぎでは、多くのサービスが一時的に「アクセス不能」に陥りました。リスク回避のために一時的にサービス閉鎖したり、メンテナンスのために休止したためです。皆様のなかにも急にアクセスが出来ないサービスがあって、驚かれた方も居るのではないでしょうか？

今回の「脆弱性」とはどんなものか？
簡単に言ってしまえば、リモートからアクセスして、サーバー内でどんな事でもできてしまう穴が見つかったのです。穴を開けたのはもちろんgenerative AIです。今後、こうした脆弱性の発覚は「相次ぐ」可能性があります。AIによるハックには、やはりAIによるリターンアタックです。これを機に赤沢経済産業相は、ホワイトハッカーの専門チームを来月中に設置すると明らかにしました。

多くの皆さん、「自分は関係ない」と思っているんですね。能天気で羨ましいです。口座番号だろうがパスワードだろうが、何でもぶっこ抜けるというのに、よく平静でいられるものです。架空情報を使って知らないところで自分名義でばんばん発注を掛けられ、数千万円の負債も「夢」ではありません。

私の自宅においてはまず直接の影響として、ウェブサーバーを立てています。
そして、WordPressサーバー上では多量のPHPが走っているわけです。
聞けば、高市総理もご自身のサイトを閉鎖されたとか。側近ご助言ありきだとは思いますが賢明です。

ウェブサービスの停止

自分では何ができるのか。とにかく対策ができるまではWordPressサーバーをオープンすべきではない。このため、Synology DSMにアクセスして、昨日まずウェブサービスを緊急で停めました。対策ができるまで、OPENにしなければ「とりあえず」は安全性を確保できます。

これをお読みの皆様も、もし自宅ウェブサーバーを建てている場合、安全性を担保できるまでは一旦停めましょう。
ということで、世の中の多くのサービスがサーバーを止めてしまったから、各所で大騒ぎになったわけですね。

• Synology DSMを開く
• パッケージセンター
• Web Station
• 開く
• Web ポータル
• リスキーなサービスを全部停める [操作] → [無効]

ひとまず、これで一安心です。

AIと壁打ちで今後の方針

サーバーを停めた時点で、まだSynologyから対策版のアナウンスはありませんでした。

AIと少し相談して、今後の対策を練ります。まず、サーバーを停めた時点でPHP開発元から公式の対策版はすでに頒布されていました。ところが、Synology DSM (synologyのNAS-OS）上でのPHPは、Synologyがそれを移植して公開しない限り、SynologyNAS上で動けないのです。だからまず、そのSynologyリリースを待つ必要があります。

次の論点として、PHPの対策版公開があるとしても、それはPHP 7.2以降〜であったということ。ということは、Synologyの対策バージョンもそれに準じるはず。

ところが、私が運用しているDSMのバージョンは DSM7.1.1 という古いものでした。というのも、DSMをアプデすると、愛用しているVideo Stationが動かなくなってしまう。でアプデを意図的に避けていたのです。
そしてそこに罠があり。DSM7.1.1で配信されるPHPは大変古く、7.4や8.0がアップデート上限なのですね。つまり、Synologyがせっかく「PHP対策版」を上げてくれたとしても、このままでは私のサーバーに脆弱性を抱えたまま、ということになります。

例：　PHP 8.2の公式パッケージはDSM 7.2以上を要求します。DSM 7.1.1では、その条件を満たしません。

これは仕方がない。嫌だったけど、意を決してDSMのアップデートを実行することにしました。（結果論ですが、このことがあらゆる側面で環境に好結果を生んだのです。）

Synolog DSMのアップデート

DSM更新の前に、さまざまなバックアップをとっておく方が無難でしょう。
コンテンツはもちろんのことですが、私はWordPressのMariaDBをフルバックアップしました。定期的にバックアップはしていますが、念の為です。

DSM 7.1.1 → DSM 7.4.1-90080 Update 1

への大幅アップデートに成功しました。これはDSMの最新版です。
アプデの操作にあたっては、公式ダウンロードセンターの案内を見ながら慎重に行う必要があります。バージョンによって経由ポイントが決まっており、そこをスキップすると起動しなくなってしまうため、です。

例えば私の場合は、

このバージョンステップを踏まねばいけない。

操作手順は、

[DSM] -> [コントロールパネル] -> [更新と復元] -> [DSMの手動更新]

必要なファームウェアファイルは下記画面の[ダウンロード]リンクから入手できます。

更新成功。

この更新によって、さまざまなアプリやシステムが影響を受け、一斉に更新を余儀なくされました。
詳細は割愛しますが、下記のパッケージング個々において、更新操作や再セットアップが必要となり、それが結構手間でした。

• WordPress
• PhpMyAdmin
• NoteStation
• PHP （8.2, 8.3, 8.4がインストール可能に）
• iTunesServer（アンインストール）
• VideoStation（アンインストール）

これらによって、実はWordPressもUIUXがかなり変わりました。私はすごく古いバージョンを使っていたってことなんですね。

Synologyより、PHPのセキュリティ対策版がリリース！

・・・とまあ、そんな事をごそごそとやっている間に、Synologyより最新PHPの更新案内が出ました。

これこそが、今回の「脅威」へ対策したDSM版です。
早速、このパッチを当てました。

更新の仕方ですが、普通にDSMのパッケージセンターから[更新]ボタンを押すだけです。

8.4においては、この8.4.27-0051が脆弱対策版になります。まだの方は、ぜひ。

WordPress DB (MariaDB) の再構築

DSMが更新されたのと同期して、WordPressもそれに準じた最新版に代わったようです。このため、WordPressのDBも再構築が走りました。容量/記事数が多かったためか、結構時間が掛かりましたね。1Hは処理中が続いたでしょうか。けっこう不安でしたが、正常にリカバリができ、こうして記事が書けている、というわけです。

正直、疲れました。今回の顛末は。しかし、この程度で疲れているのなら、ウェブやブログは辞めた方が良いと思います。

続いて、VideoStationの代替を探す羽目になるのですが、そちらはまたの機会に。