PHPの脆弱性でWordfence自身が停止　プラグインでは守れなかった

WordPressを守る製品「Wordfence」が、自社のサービスを止めた。告知は10月21日の12時33分（UTC。日本時間の21時33分）。理由は「まだ修正版が出ていないPHP2Shellの脆弱性への緩和策を入れるため」だ。「セキュリティ製品を入れているから大丈夫」は、どうなるのか。

PHP2Shellは、サイトを動かす土台のPHPそのものにある欠陥だ。深刻さはCVSSで9.2。PHPの開発チームは20日に予告を出し、21日の14時（UTC）に修正版を公開した。Wordfenceが止めたのは、その公開予定より1時間半ほど早い時刻だ。

プラグインを入れていれば、止めなくていい？

そうは言えない。欠陥はPHPの中にあって、PHPは、届いたリクエストをアプリのコードが動く前に読む。WordPressのプラグインが働くより手前で、攻撃が成立しうる。

オランダのセキュリティ会社Sansecは、攻撃の経路は「あなたの店のコードより前、そして当社のShieldより前のPHPの中で動く」と書いた。WAFでできるのは「応急処置であって、修理ではない」とも。Wordfence自身も「WordPressの自動更新では、この修正は当たらない」と言っていた。

分かっていること、まだ分からないこと

落ちた範囲は分かっている。ステータスページでは、プラグイン用のサーバー、管理サービスのWordfence Central、公式サイトが停止。プラグイン本体は「機能低下」で、有料サポートだけが稼働中だ。国内でも54の組織が停止や緊急メンテナンスを告知した（piyologの集計）。

分からないのは、復旧の時刻と、入れた緩和策の中身。22日未明（日本時間）でも、告知に復旧の記録は付いていない。

ネットの評判

Yahoo!リアルタイム検索のまとめには、修正版が出る前の投稿152件が並び、「ヤバそう」「要注意」という言葉が目立った。一方で「アップロード機能がないサイトは無関係」という話も回った。ITmediaのブログで秋山大志氏は、これを「PHPはアプリのコードが動く前にリクエストを解析する」として否定し、自分のVPSのログにも異常はなかったと書いている。

何を緩和策として入れたのかは、復旧の告知で分かるはずだ。