起きてびっくり，サイト改竄？ at よそ様-続々々々々報。

　ぐふふ，ついに踊り字４つだよー。まっ，これで打ち止めだとは思うけどね（汗）。

　2013/09/09第三者によるユーザーサイトの改ざん被害に関するご報告ということで，09/09 20:42 追記後は増えていないから，これが公式な最終報告なのかなと思う。結局のところ，

■原因

• 改ざんの原因
  簡単インストールを利用して設置された WordPress においてインストールが完了していない WordPress が狙われ、WordPress の管理者権限を第三者に取得されたことで、サーバー上にサーバー構成上の不備を悪用するスクリプトが設置されました。また、wp-config.php のパーミッションが 644 だったことを利用して、設置されたスクリプトによりデータベースの接続情報の取得がおこなわれ、データベース上のデータの書き換えが可能な状態となっておりました。
• 改ざんが拡大した原因
  サーバー側のディレクトリパーミッションが不適切だったことと、FollowSymLinks の設定を有効にできる状態であったため、同一サーバー上のユーザー領域を辿り、他のユーザー様の wp-config.php の内容を参照し、データベースの更新を実行することで改ざんの被害が拡大しました。

  上記の事象と原因に関して、被害の拡大を防ぐため以下の対策を実施いたしました。

ということで，今回，被害が拡大したことについては， WordPress は無関係ということだ。無罪放メーン。

　もっとも，前記事で「大穴があいていたもので，個別の穴狙いでチョコチョコ出入りしていたクラッカーが，図に乗っちゃったということになるのか。」と書いたように，チョコチョコ出入りしようとするクラッカーはどのサイトでも見受けられるわけで， WordPress は売れ筋の CMS であるだけに，狙われやすいのだということは，肝に銘じておいたほうがいい。 Mac より Windows 狙いのマルウェアが多いのと同理由である。

　ロリさんのところがどのくらい改善されたのか試してみたい気もするが，最近は，あちこち手を出すのは止めてるので，どうなるかな。

　よそ様の運営に口を出すのもおこがましいが， WordPress の簡単インストールというサービスを提供するのであれば，もう少しガチガチにしといたほうがいいだろうと思う。ロリさんところで，簡単インストールを利用しようってユーザの場合，「パーミッション，何それ，おいしいの？（ <-- 先に謝っときます。この表現，気に障ったらゴメンナサイ）」レベルの場合が考えられるわけで，インストールされそこなって放置される場合はもちろん，運営する状況に至っても，パーミッションまで気が回らないことは十分考えられるはずだから，簡単インストールなら，当然，そこまで面倒見るべきだろう。アップデートサービスについても然りだ。 　WordPress はテーマやプラグインが豊富なのも魅力の一つだが，簡単インストールの場合だと，これらについては個別ユーザが自由にインストールできないようにしておくべきだ。それをやっておかないと，テーマやプラグイン由来の穴に対する保守が不可能になる。メリットも殺しちゃうことになるんで，痛し痒しだろうけど。 　マルチサイトの子サイトとして提供するのがいいんだろうが，それだと，簡単インストールサービスじゃなくて，ブログのサービスになっちゃうからなぁ。 　我が家の場合は，自鯖の上にユーザは私一人という特殊事情だから，そんな難しいことは考えなくていいんだけど，共用サーバって難しいんだろうね。