最近は脆弱性が発覚したというニュースでSNSは大騒ぎでしたね。
直接関わって作業を行った方も多いかと思います。
今回関係が無かったとしても明日は我が身かもしれません。
数々のニュースをスルーせず注意喚起として受け止めて、
やるべきことや心構えをまとめました。
最近のニュース
①PHP
Webサイトを動かすPHP本体に、
ログイン不要でサーバーを乗っ取られる恐れのある脆弱性が2件発見されました。
攻撃ツールの名前から「PHP2Shell」と呼ばれています。
深刻さを0〜10点で表す指標であるCVSSは9.2。
修正版の公開前に情報が漏れ、攻撃も観測されました。
金融機関やゲーム会社でも、サービスの一時停止が相次ぎました。
②Linux
仮想マシンの中から、
土台となるサーバーのメモリを読み取れる脆弱性が発見されました。
CVSSは9.3。
脆弱性そのものにPwnEscapeという名前を付けられるほど深刻なものです。
レンタルサーバの新規申し込みを一時停止する会社が出る等の影響が出ました。
③Oracle Java
定例の更新で55件の脆弱性を修正しました。
最大CVSSは7.5とのこと。
（ただし上記2点と評価方式が異なるv3.1のため単純比較はNG）
悪用されるとアプリが異常終了したり、パソコンを制御されたりする恐れがあり、
IPAが早急な更新を呼びかけています。
やるべきこと
・使っているものを把握する
OS、言語、ソフト、サーバー、外部サービスとそのバージョンを一覧にする。
把握していないものは守れません。
・サポート切れを使わない
PHPの件では古いバージョン向けの修正版は出ませんでした。
期限を確認し、早めに移行を計画しましょう
・定期的に更新する
自動更新を有効にしたり、更新日を決めたりしましょう
・情報源を決めておく
公式発表等を漏らさず受け取れるようにして、定期的に確認しましょう。
・すぐ更新できる手順を用意する
更新手順、バックアップ、緊急時の連絡先を決めておきましょう。
・使っていないものは止める
放置されたサイトや機能は、攻撃の入口になるだけです。
心構え
・「長年使ってきたから安全」ではない
PHP2ShellもPwnEscapeも、何年も前から潜んでいた欠陥でした。
・発見のスピードは上がっている
攻めも守りもAIにより加速しています。
重大な脆弱性が短い間隔で見つかる前提で備えましょう
・自分が使っていなくても無関係ではない
委託先や取引先が影響を受ければ、自分のサービスも止まります。
視野を広く持ち、悲観的に受け止めましょう。
・大切なのは、「すぐ気づき、すぐ直せる」状態を普段から作っておくことです
まとめ
備えあれば患いなしとは言いますが、
何かが劇的に変わることではないのでつい後回しになってしまうのも分かります。
であればこそ、大きな出来事があった今、
身の回りを固める時間を取るべきではないでしょうか？