この度報道のあったPHPの脆弱性につきまして
WebChangerへの影響につきましては、「U01バージョン」と「.NETバージョン」に分けて下記の通りご説明させていただきます。
◆U01バージョン
「U01バージョン」では、お客様のブラウザーからのリクエストをキャッシュサーバーで受けてホームページデータの出力サーバーへ転送します。
出力サーバーでPHPが稼働していますが、キャッシュサーバーと出力サーバー間の通信は、外部へ公開されていない内部ルートでの経路を使用しており、出力サーバーは外部からアクセスできない仕組みになっています。
この為、PHPの脆弱性をついた攻撃を受けたとしても、直接出力サーバーおよびサブシステムへアクセスできない為、悪意のある任意のコードが実行されることはありません。
お問合せページやショッピングページなど、サブシステムサーバーでもPHPを使用していますが、キャッシュサーバー、出力サーバーを経由した内部ルートでの通信となっており、同じく悪意のある任意のコードが実行されることはありません。
お客様のブラウザからお問い合わせページおよびショッピングページへのリクエストがキャッシュサーバーへ届くと、キャッシュサーバーから出力サーバーへ転送され、出力サーバーからお問合せサーバーもしくはショッピングサーバー等のサブシステムサーバーへリクエストを転送します。
サブシステムサーバーはリクエストを受けて処理を行い、来た経路を逆に 出力サーバーやキャッシュサーバーを経由してお客様のブラウザへとレスポンスを返します。
管理画面については、この度の脆弱性に対応したWAF（Web Application Firewall）経由でのアクセスとなるため、同じく悪意のある任意のコードが実行されることはありません。
◆.Netバージョン
ホームページのデータは、HTMLファイルで設置しており、お問合せページやショッピングページのみPHPが使用されています。
お客様のブラウザからお問い合わせページおよびショッピングページへのリクエストがWebサーバーへ届くと、Webサーバーからお問合せサーバーもしくはショッピングサーバー等のサブシステムサーバーへリクエストを転送します。
サブシステムサーバーはリクエストを受けて処理を行い、来た経路を逆に Webサーバーを経由してお客様のブラウザへとレスポンスを返します。
Webサーバーとサブシステム間の通信は、外部へ公開されていない内部ルートでの経路を使用しており外部からのアクセスが行えない仕組みになっています。
PHPの脆弱性をついた攻撃を受けたとしても、直接サブシステムへアクセスできない為、 悪意のある任意のコードが実行されることはありません。
管理画面については、ローカルアプリケーションでPHPを使用していませんので、今回の脆弱性は関係ありません。
◆まとめ
WebChangerに関しましては、この度報道のあったPHPの脆弱性について上記の通り安全性を確保しておりますが、今後の一層の安全対策としてPHPのバージョンアップ等を行い、安全性の強化に努めて参ります。
【参考】
◯一般的なCMS（WordPress等）の仕組みとWebChangerの違いについて
一般的なCMSはサーバーにPHPによるプログラム本体を設置し、編集機能や表示機能などをすべてPHPで行う仕組みです。
そのため、PHPの脆弱性による影響が甚大なものとなります。
一方、WebChangerは編集機能と表示機能を分離した設計を採用しています。
Webサイトの閲覧者がアクセスする公開ページでは、CMSの編集プログラムを直接実行する必要がないため、一般的なCMSと比較して、外部から攻撃を受ける経路を限定できるという特徴があります。
また、編集機能と表示機能を分離することで、この度のような影響範囲の大きな脆弱性が発見された場合でも、その影響が公開サイトへ直接波及するリスクを低減できます。
このようにWebChangerは、システムの構造そのものによってセキュリティリスクを低減する設計となっております。
WebChangerは簡単・迅速にホームページの更新・管理を行うソフトウェアです。
WebChangerの特徴は何といっても圧倒的に簡単な操作性。
ホームページの変更したい部分をダブルクリックするだけの簡単操作で更新作業が行えます。
新しくホームページをつくるとき、既にお持ちのホームページをより簡単に更新が行えるようにしたい、など。
お気軽にご相談ください。
