PHPとわたし。そして胃痛

みなさん、こんばんは。

本題に入る前に、一つだけお知らせ。

いつも仲良くしてくださるフォロワーののぞみんさんが、記念すべき2冊目のKindle本をご執筆されました……！

まだ全部は読めていないのですが、のぞみんさんがnoteをやってきて怖かったこと、勇気を出して頑張られたことがせきららにつづられていて、noteをされている方にとって共感できる本だなぁ、と感じています。

10月29日（木）まで、無料でダウンロード可能とのこと。noteを楽しみたいみなさんもぜひ。

そして執筆にあたって、かぜの帽子さんが伴走されたんですね。

かぜの帽子さんのサポートで、すてきな本を執筆されている方がnoteには多い印象です。すごいなぁ。

そういうおめでたい話題からはちょっと変わりますが、最近、PHPというプログラミング言語の大きな脆弱性が発表されたのをご存じでしょうか？

AI技術の台頭もあり、発表されて間もなく対応を迫られるという地獄のようなスケジュールで進行したので、ITエンジニア界隈で激震が走っていました。今も走っています。

ふだん生活していて、PHPと言われても聞き覚えが無いかもしれませんが、古典的かつ広く一般に使われている言語なんです。全世界で約7割のWebシステムに使われている、とも言われています。

Webシステムというのは、みなさんがスマホなどを介して、Webでアクセスできるサイト、ということです。

noteもそうですし、みなさんが普段使うであろう銀行や官公庁のWebサイトなんかも、ある種のWebシステムです。現代ではWebサイト＝Webシステムかもしれません。

何が言いたいかというと、今回のPHPの脆弱性対応は、みなさんが普段使うインターネットのおよそ7割に影響し、しかも重大な結果をもたらすものだったということです。

だから多くの会社、担当者が緊急で対応を求められました。なんか高市首相まで対応を求めていました。

少し知識のある方は、PHPのパッチ当てるだけでなにが大変なの？　と思われるかもしれません。

まぁ、パッチを当てるだけだったらまだ影響が少なかったかもしれないですよね。メンテナンスを計画して、パッチを当てて、雑に動作確認。それで良かった。

でもそれに伴ってPHP自体のバージョンアップが必要なこともありました。そうすると、今まで動かしていたWebシステムの、具体的なプログラムまで書き直さないといけなくなる可能性があるんですよね。

プログラムを書き換える、というのはPHPのバージョンを上げる以上にインパクトの大きいものです。

・どこをどう書き換えるか計画して
・それによってどういう影響があるかを調べ
・システムがちゃんと動くかどうかをテスト検証

これを24時間365日動くシステムで、即座にやるのなんて、無理なんですよね。

今回の脆弱性対応にあたって、メンテナンスに突入して再開できないシステムや、これ幸いとサービス終了したシステムは、おおむね「バージョン上げてみたら動かない」のるつぼにはまっているのではないでしょうか。

あるいは巨大なシステムでは、影響範囲が広すぎて「だいじょうぶ」の検証に時間がかかるのかな。想像したくもありません。

noteだって私たちが書いた記事のデータがおかしくなっちゃうなんていう事態が起きたらユーザーは阿鼻叫喚だと思いますが、お金がもっと動くショッピングサイトやソシャゲの裏側、銀行などのシステムにおいて、「システムの不具合で決済がおかしくなりました」なんて許されないんですよね。

ところでここまでPHPについてだらだら書いてきましたが、実は私が一番書けるバックエンドの言語はPHPです。

PHPは習得難易度も参入障壁も低いですし、さっき言った通り世の中のシステムの7割がPHPなので、PHPさえ書ければ引き合いが多くて食うに困らないんです。
（※スクラッチの地獄のようなフレームワークがあるともはやPHPができるからどう、とはなりませんが、たいていは問題ない）

なので例に漏れず私も駆り出され、今参画している案件のシステムはおろか、自社からも応援を要請され、時間外、休日出勤ありありのスケジュールに巻き込まれていました。

それでちょっと体調を崩していたんですが、食べるものがなかったので保管してあったラーメンを食べたらそれが激辛で胃痛に苦しんでいます。胃が痛い。頭痛もひどいのに、さらに胃が荒れるのが怖くてロキソニンが飲めない。体の色んなところが痛くて、どこが痛いのか分かりません。

とりあえず私が言えることとしては、

・訳が分からない中小企業の作ったシステムはなるべく避けること
・メールが届いても、中のURLをみだりに開かないこと
・変なシステムに登録してしまったら、なるべくデタラメな情報に書き換えてから退会すること

辺りをやってほしいなって思います。

慌てて退会しても無駄です。セキュリティが緩いシステムはプライバシー管理も緩く、退会したとてデータを物理削除（つまり完全にデータベースから削除して参照不可能にすること）はしないからです。

データの更新はログには残るかもしれませんが、ふつうはその前の状態をあえて運用系のデータベースに残したりしないため、やるならそっちの方が良いでしょう。

GDPR対応（ざっくり言うと、EU向けのシステムでは対応が必須な、「私がデータ消してといったら完全にデータを消せ」システム）をうたっている場合だけ、データの削除申請に意味があります。

EUはプライバシー意識が高すぎてうるさいと思っていましたけど、こうなってみるとEUは賢かったと思いますし、日本もそのぐらいのプライバシー基準を持つべきなんじゃないかと思っている今日この頃です。

#YeKu #PHP脆弱性 #脆弱性対応 #Webセキュリティ #個人情報保護 #ITエンジニア #仕事について話そう