IT徒然:特定サーバーのWordPressが改ざんされているようです(8.31追記あり)

もしかしたらWordPressでブログ(HP)を運用されている方、サーバー運営会社から連絡がきているか、あるいは告知されているかもしれませんので各自、ご確認ください。大規模な改ざんが行われているようです。一応、セキュリティ対策をするようにと告知もされているのですが、技術的に詳しくない方にはわかりにくいようです。特に、あまり詳しくない方の利用者数が多いサーバーがターゲットになってしまったようにみえます。

サーバーを借りて、そこにHPを構築するというスタイルの場合は、こういうリスクがどうしてもつきまといますね。

WordPressのことを誰もしならい時代もあったのですが、こんなに大規模攻撃されるほど有名になったのか、という感慨はどうでもよいことですが、時代はこうしてどんどん変わっていくのだなぁと思います。

ユーザー名にadminを使わないのはもちろんのこと、wp-config.php、.htaccessなどのパーミッション設定、FTPは使わない、login回数制限のプラグイン導入など最低限の対策の他にも、すべてのファイルのバックアップ(それもできれば二重に)を常時、自動的に保存する仕組みの導入などが、とくにビジネスでWordPressを運用している方には必須かと思います。そこまではできてないな、という方はご相談ください。

追記>誤解をまねくといけないのでタイトルを変更しました。該当するサーバーをつかっている方にはすでに通達があったかと思います。WordPressを使っていらっしゃる方は、公式サイトにまとめ情報が載っていますのでご参照ください。

追記2>昨日からのこの出来事にはニュースサイトでも大々的にとりあげられています。少し前に2cnのユーザー情報が流出して、こちらも別な意味で大事件になっています。こういう出来事が増えてきたことの意味も深く考えさせられます。それよりも、さしせまった事態としてサーバーの移転をよぎなくされつつあります。少しずつ準備はしているのですが、いざとなると相当な時間をとられてしまいます。が、万が一にも対岸の火事が飛び火しないうちに、なんとかしたいと思います。

※どうでもいい余談:「該当(がいとう)する…」というところと「かくとうする…」と書きそうになって、単語を探してみたのですがそんな日本語は存在しませんでした。「該当(がいとう)」をなんとなく「かくとう」と、読み替えてない単語を捏造してしまっていたようです。国語の先生には絶対になれないな…。

追記3>どうも最終的な原因はサーバー固有の問題、ということで決着がつきそうな気配です。ついさっきまでWordPressの問題ではないか、という懸念があり警戒していたのですが。ちょっと安心です。これで今日はゆっくり眠れそうです。全国のサーバーエンジニアの皆さん、おつかれさまでした。

追記4(8.31)>WP公式サイトのフォーラムでのディスカッションで、ほぼ原因は分析され尽くした感じ。ひとまず収束といっていいのかな、と思います。WordPressユーザーの方は、これまで通り基本に忠実にセキュリティ対策を実践していくことが最善。あとは信頼できるサーバーを使う。無料や、格安のサーバーについてはこれからは淘汰されていってしまうかもしれませんね。万が一のことがあると失うものが大きすぎるので、それに見合う保険料をしっかり払ってでも管理が万全のサーバーや、サービスを選んでいく方向に、皆の意識が変わっていくと思います。
※技術的なつぶやき:timtumb.phpの問題については心配になったので、手元もサーバーも全ファイルスキャンをして探してみましたが、そもそも存在しなかった。あまり画像関係はこだわってないからなぁ。

◇人気記事: