脆弱性対応その後

ようやく先週で一通りのPHP脆弱性に関する緊急対応が一旦終わりました。

ハードランディングに見舞われたウェブサイトは、
動作環境をPHP8.3にアップデートし、
ウェブサイトもPHP8.3環境でご覧いただける状態になりました。

ソフトランディングで済んだウェブサイトは、
今回はウェブサイトのトラブルは発生しませんでしたが、
古いPHP5環境、あるいはPHP7環境でしか動作しないウェブサイトがかなりあります。
今度はいよいよPHP8.3以上しかセキュリティパッチが当たらない可能性がありますので、
来年3月末を目途にアップデートを進めていく予定です。

弊社も今回のPHP脆弱性対応はかなり驚きましたが、
もともとサーバ構築もやっていましたし、基礎知識はありましたので、
大きな混乱なく対処できたと思います。

嵐が過ぎ去って反省は3点あります。

1つは社内共有できるウェブサイト保守管理表が無かったことです。
担当グループ内や各担当者が使用する管理表はあったものの、
社内で共有できるほどわかりやすいものではなく、情報共有に手間取ってしまいました。
どうしても管理表がわかりにくいと、最後は「人に聞く」しか無くなってしまい、
社内担当者に問い合わせが集中するということがあったと思います。

さらにお客さま連絡先リストが作れていなかったことです。
お客様のメールアドレス等はもちろん保有しているのですが、
今まで短時間で一斉に連絡する必要が無かったので、
メーリングリスト的なものは整備していませんでした。
突貫で作ったメーリングリストと手作業で何とか一斉連絡をしましたが、
すぐに一斉メールができる仕組みを作っておかないといけないなと思いました。

最後にお客様持ち込みサーバの対応です。
今回、ハードランディングに見舞われたウェブサイトはすべてお客様持ち込みサーバでした。
（今回は偶々そうなったというだけで、逆もあり得ます。）

お客様がサーバを持ち込みたい気持ちもわかるので、
今後も受け入れていくつもりなのですが、
今回のPHP脆弱性対応で、レンタルサーバ事業者の対応がかなり異なっていたため、
それらの調査や仕様確認に手間取ったというのは正直なところです。
どうしてもお客様が契約上も全権管理者になるので、
代理業者となる私たちの管理作業もかなり制限を受けてしまい、
早く早くと気は急くものの、対応は遅くなってしまいました。

先の2点については、
今後に備えてウェブサイト管理表を作成することにしました。
客先担当者や連絡先なども備えた社内システムにしようと思っています。

最後の1点については、まだ答えは出ていません。
弊社マネージドサーバより対応が遅くなるのは間違いありませんので、
ウェブサーバを持ち込まれるお客様に対して周知していくしかありませんね。

どうも他の同業者さんの様子を見ていても、
普段と異なる動きをされているように見えるので、かなり混乱されていると思います。
頑張って難局を乗り切っていきましょう！