ただでさえ不正アクセス祭な昨今。
この波に乗らんとするかの如く、ネット上の重大なセキュリティ問題が立て続けに発生しました。
「秘密鍵の生成不備」と「PHPの重大な脆弱性」
秘密鍵の問題は、普段Webサイトを見ている人なら誰にでも関係する話です。
PHPの問題は、主にサーバーの運営者・管理者が対応するものです。ただ、一般の利用者にとってもまったく無関係ということではありません。
片方だけでも結構大きな問題なのに、それが2つも同じ日(2026/10/21)に重なったために、一時は大変なことになっていました。
秘密鍵の生成不備
インドの認証局「eMudhra」で、電子証明書を発行するための秘密鍵の生成方法に欠陥がありました。
電子証明書……Webサイトが本物であることを証明してくれる身分証みたいなもの。
そしてその証明書を発行するうえで重要になるのが「秘密鍵」です。
本来、秘密鍵は第三者に推測されないよう、十分なランダム性を持たせて生成しなければなりません。
ところが、eMudhraが2025/4/30に作成した中間認証局の証明書のうち8件では、秘密鍵の生成に問題があり、簡単に割り出せる状態になっていました。
どのくらい簡単なのかといえば、
156、230、115、56、155、4、66、237
ザルにもほどがある3桁以下。4て。
その鍵を悪用されると、偽の電子証明書を作成して正規のWebサイトになりすます危険があります。
eMudhraは既に上記証明書8件を失効させており、主要ブラウザ(Firefox、Chromeなど)やOS側でも対応が進められています。
ユーザーにできる自衛策は、OSやブラウザを最新版に更新しておくこと。これが大事です。
PHPの重大な脆弱性
PHPで、外部の攻撃者がログインせずに、Webサイトを動かしているサーバー上で不正なプログラムを実行できてしまう重大な脆弱性が見つかりました。
PHP……Webサイトを動かすためによく使われるプログラミング言語。
WordPressなどのCMS(専門知識がなくてもコンテンツを作れるシステム)や、会員制サイト、オンラインショップなど、実に世界のWebサイトの約7割でPHPが使われているとされています。
もし攻撃されると、Webサイトを書き換えられたり、サーバー内の情報を盗まれたりする危険があります。
対策は、サーバーの運営者・管理者がPHPを修正版にアップデートすること。
| PHPの系列 | 修正版 |
|---|---|
| PHP 8.5系 | 8.5.12 |
| PHP 8.4系 | 8.4.27 |
| PHP 8.3系 | 8.3.36 |
| PHP 8.2系 | 8.2.35 |
(出典:IPA「PHPの脆弱性対策について」)
ちなみに、当ブログでもPHPのバージョンを確認し、今回の修正版が適用されていることを確認済みです。
レンタルサーバーでは、サーバー会社側で修正版を自動適用してくれている場合が多いため、基本的には利用者が自分で何かする必要はありません。
とはいえ、念のため利用しているサーバー会社の公式のお知らせには目を通しておくのが無難です。
なお、Webサイトを閲覧するだけの人は基本的に特別な対応は必要ありません。
ただし、修正が適用されていないWebサイトにはリスクが残ります。一般の閲覧者が、アクセス先のサイトで使われているPHPが修正済みかどうかを見分けるのは基本的に難しく、できる対策も限られます。よく使うWebサイトが対応完了の声明を出していれば、ひとまず安心できる程度ですね。
やっぱりエックスサーバーは頼りになる
今回の騒動で個人的に対応がピカイチだと感じたのは、
やはりというべきか、エックスサーバー。
対応の早さもそうですが、こまめな進捗状況を報告してくれたおかげで、ユーザーも状況を把握しやすく、比較的早い段階で落ち着いていた印象です。
こういうアクシデントが起きたときこそ、企業の信頼度が見えてくるものですね。不安を抱えるユーザーへの対応をなおざりにしない姿勢は、素晴らしいの一言に尽きます。
全然エックスサーバーの回し者でもなんでもないのですが、本当に安心して利用できるしっかりしたサーバー会社です。
各サーバーの違いがよく分からない初心者にこそ、とりあえずエックスサーバーを選んでおけば、まず間違いないと言えるくらいオススメできますよ。
