PHP 5・PHP 7 のサイト｜アップグレードとセキュリティ修正
PHP 7以前のバージョンは、公式のセキュリティ修正がとうに終わっています。Arz（阿茲）と申します。最近、長く動いてきた3つのサイトをPHP 8へ移す作業をしています。サーバーに入ってみると、どのサイトでも「バージョンが古い」より急ぐべき問題が見つかりました。1年以上前にバックドアを仕掛けられていたサイトもあれば、決済画面で項目を1つ書き換えるだけで注文金額を変えられるサイトもありました。
技術の知識は不要です。URLと、どのホスティング会社を使っているかを sharefood@gmail.com までお送りいただければ、そこから相談を始められます。
| バージョン | セキュリティ修正 |
|---|---|
| PHP 5.6 | 2018年12月に終了 |
| PHP 7.0 | 2019年1月に終了 |
| PHP 7.2 | 2020年11月に終了 |
| PHP 7.4 | 2022年11月に終了 |
| PHP 8.1 | 2025年12月に終了 |
| PHP 8.4 | 2028年12月まで |
出典：php.net のサポート対象バージョンとサポート終了バージョン一覧。
いずれも最近担当したサイトです。顧客名とURLは伏せています。それ以外は当時の評価報告書と修正記録に基づいており、数字もそのまま載せています。
アンケートから推測することはしません。実際に動いているバージョン、入っているソフト、不審なファイルの有無を調べ、工数の見積もりを添えた評価報告書にまとめます。
本番サイトには手を付けません。コードはバージョン管理に入れ、修正はまとまりごとに記録します。いつ何を変えたかを後から確認できます。
公開側はスクリプトで全ページを巡回します。管理画面は各モジュールで保存と削除を試します。決済機能がある場合は、テスト環境で支払いの流れを最後まで通します。
切り替え前に本番サイトを完全にバックアップします。切り替え後はもう一度全体を巡回し、テスト環境の結果と比べます。
変えたこと、変えていないこと、お客様の判断やホスティング会社の協力が必要なことを、文書にしてお渡しします。終わっていない項目も省かずに書きます。
作業にはAIを使っています。隠すことではないと考えています。数万行の古いコードを読む速さは、AIのほうが人よりはるかに上です。ただ、AIの指摘が正しいかどうかは、テスト環境で1件ずつ試して初めて分かります。
Arz（阿茲）です。台湾の造雨人科技でエンジニアをしています。システム開発に20年以上携わり、管理システム、決済連携、業務の自動化を手がけてきました。
セキュリティの専門家として経歴を積んできたわけではなく、セキュリティ関連の資格も持っていません。私の仕事は、古いコードを保守の続いているバージョンへ移し、その途中で見つかった穴を塞ぐことです。ペネトレーションテストの報告書、デジタルフォレンジック、コンプライアンス監査が必要な場合は、セキュリティ専門会社に依頼すべき内容ですので、その旨をはっきりお伝えします。WordPressも主な対応範囲ではありません。得意なのは独自開発のPHPサイトです。
Arzのシステム開発の経歴を見る（中国語）サポートが終了したバージョンでは、新しく見つかった脆弱性は修正されません。ホスティング会社も旧バージョンを順に停止していきます。サイトがすぐに動かなくなるわけではありませんが、問題が起きたときに適用できる修正がありません。実際には、古いサイトにはすでに別の問題があり、だれも調べていないだけということがよくあります。
コードの量と、決済、会員機能、外部ログイン連携の有無で変わります。まずサーバーに入って評価を行い、報告書に工数の見積もりとその根拠を書きます。それを読んでから、進めるかどうかを決めてください。コードを見る前に出した日数は、たいてい当たりません。
修正はすべてテスト環境で行うので、本番サイトはそのまま動き続けます。本番に触れるのは最後の切り替えだけです。切り替え前に完全バックアップを取り、日時も事前にご相談して決めます。切り替え後はサイト全体をもう一度巡回して確認します。
公開ページを見るだけでは、たいてい分かりません。サーバーに入り、不審なファイル、身に覚えのないアカウント、書き換えられた設定、残っている記録を調べる必要があります。このページで紹介した3つのサイトのうち2つで、過去にバックドアを仕掛けられた形跡が見つかりました。
評価を先に行い、その後で見積もりを出します。評価では、コードの量、アップグレード後に動かなくなる箇所の数、検証が必要な機能の数を調べます。作業開始後に範囲外の問題が見つかった場合は、手を付ける前に確認を取ります。このページに固定料金は載せていません。
サイトのURLと、ホスティング会社の名前だけで相談を始められます。サーバーへのログイン権限が必要になるのは、評価を行うと決めた後です。安全な受け渡し方法はそのときに決めます。メールでパスワード、認証コード、顧客データを送らないでください。
次の3つを sharefood@gmail.com までメールでお知らせください。サイトのURL、ホスティング会社、最近起きている問題です。内容を確認したうえで、対応する価値があるか、どの種類の問題と考えられるか、次に何をすればよいかをお返事します。パスワードと顧客データは、この段階では送らないでください。
メールでURLを送る