アップデートできていないサーバーの処置

アップデートできていないサーバーご利用のお客様には、別途通知しております。この記事がアップされた時点で、通知が届いていないお客様は、既にセキュリティパッチ適応済です。

未だセキュリティパッチが公開されていないOSを利用しているサーバーについて暫定的な処置を実施しています。

その内容については公開する事はできませんが、この処置によりウェブサイトの一部機能が使用できない場合もございます。

特に管理画面やウェブサイトフォームからの、画像・ファイルのアップロードが出来ない場合がございますので、ご了承ください。

サーバーのPHP対応状況について

今回の脆弱性については、Xサーバーやさくらなど、各社緊急対応を実施中です。当社がおすすめしているXサーバーについては、当記事公開時点でPHP 8.2～8.5の修正パッチは適応済との事です。

PHP7系については、PHP公式では既にサポートが終了しており、公式サポートからパッチ配布はありませんが、OSのバックポート(OSメーカーがセキュリティ更新のみ対応する制度)による対応が進められております。

但し、OSの種類、バージョン、環境によってバラつきがあり、未だリリースされていないものも多数存在します。

まずは、自身のサイトのPHPバージョンとご利用中のサーバの対応状況を、ご自身でご確認ください。

ご自身で、対応できない場合は有償にて承りする事もできますので、ご相談ください。

※但し、当脆弱性への対応では、当社で制作したウェブサイトに限ります。

サイトの一時閉鎖手順

1. まずはサイトデータをバックアップ

   ウェブサイトのデータをバックアップしてください。

   SFTPで、サーバーへ接続し、全てのダウンロードします。またデータベースも最新のものをバックアップします。

    

   バックアップデータの取得方法は、ご利用中のサーバ会社によってはコントロールパネルから一括でバックアップ取得できる場合もあります。

   データベースデータの取得方法は、コントロールパネルから取得できるものやphpmayadminを使用してバックアップする場合がございます。

    

   尚Wordpressはプラグインでのバックアップという手段もございますが、WPのバックアッププラグインは、設定を誤るとサイト容量を肥大させてしまう他、新たな脆弱性の原因を作りかねないので、お勧め致しません。

2. 静的HTMLのindex.htmlを用意

   サイト名、社名の他、メンテナンス中表記、対応連絡先などを記載した静的HTMLのindex.htmlを用意します。

   制作したページを、サーバーのドキュメントルート(public_htmlやhtdocsなど)にアップロードします。

3. データの一時避難・削除

   ファイルは、ドキュメントルート外(public_htmlの一つ上のフォルダ等)に避難させるか、削除します。

4. リダイリクトの設定

   検索などから遷移したURLを全て設置したindex.htmlへリダイレクトさせる為の、.htaccessを設置します。

   Googleなどの検索エンジンには、現在もWebサイト内の各ページが登録されています。

   そのため、検索結果やブックマークなどから個別ページにアクセスした場合でも、すべてメンテナンスのお知らせページ（index.html）へ自動的に転送されるよう設定します。

   この転送には「302リダイレクト」という一時的な転送方式を使用します。

   302リダイレクトは、Webサイトが一時的に別のページへ移動していることをブラウザや検索エンジンに伝える仕組みです。

   今回は恒久的な移転ではなく、セキュリティ対策のための一時的な公開停止であるため、元のURLを維持したまま復旧することを想定して、この方式を採用します。

   なお、検索エンジンでの表示や評価が完全に維持されることを保証するものではありません。

5. メンテナンスページを確認

   設置したindex.htmlが表示させる事を確認したら完了です。

一時閉鎖の解除

セキュリティ対応したPHPが適応された事を確認したら、手順3で避難させたデータをも元に戻します。

設置したindex.htmlを削除し(必要ならば.htaccessも)て、サイトの表示・動作確認を行ってください。

WordPressサイトなど、.htaccessファイルを使用している場合もございますので、設置した.htaccessが元の.htaccessに上書きされている必要がこざいます。