Meltdown・Spectre攻撃とは?WordPressサイトへの影響と対策を徹底解説

Intel、AMD、ARMが設計したプロセッサに深刻なハードウェアバグが存在することが判明しました。これらのセキュリティ上の欠陥は、Googleの「Project Zero」によって報告されたもので、「CPU史上最悪の攻撃バグ」とも呼ばれています。

Meltdown・Spectre攻撃の仕組み

MeltdownおよびSpectreの脆弱性により、悪意のあるプログラムが他のプログラムのデータを読み取り、アクセスできるようになってしまいます。現代のコンピューティングデバイスを使用するすべてのシステムが影響を受けます。WordPressサイトのオーナーであっても、普段ウェブサイトを閲覧しているだけのユーザーであっても、この問題から逃れることはできません。

例えば、ブラウザのタブで悪意のあるサイトにアクセスしていた場合、そのタブがブラウザにインストールされたパスワードマネージャーのデータへアクセスできてしまう可能性があります。他のタブのCookieさえも盗み見られる恐れがあります。同様に、WordPressサイトを共有サーバーでホストしている場合、同じハードウェア上で複数のサイトが稼働していれば、あなたのサイトもデータ漏洩のリスクにさらされます。つまり、共有ホスティングでもマネージドホスティングでも、リスクからは無縁ではいられないのです。

なぜMeltdown・Spectreは危険なのか?

この問題は、現代のコンピューティングデバイスを使うすべての人に影響を及ぼします。最大の脅威は、攻撃が従来のログファイルに痕跡を残さずにデータ窃取を行える点です。OSに依存せず、ソフトウェアのセキュリティ脆弱性にも頼らないため、従来の防御策では検知が極めて困難です。PCのチップ、モバイルデバイス、クラウドシステムなど、あらゆる環境で動作するため、ホスティングプロバイダーのインフラ次第では、あなたと訪問者のデータが盗まれる可能性があるのです。

サイトオーナーとして影響を受けるのか?

結論から言えば、すでにMeltdownの影響を受けている可能性があります。窃取されうるデータには、パスワード、SSL鍵、その他の機密情報が含まれます。

WordPressサイトオーナーがすべきこと

WordPressサイトのホスティング方法には、主に4つの種類があります。それぞれの状況と対策を見ていきましょう。

共有ホスティング(GoDaddy、Bluehost、SiteGroundなど)

共有ホスティングでは、1台のサーバー上に多数のサイトが近接して稼働しています。サーバーには一定レベルの保護機能があり、通常はサイト同士が干渉し合わないようになっています。しかし、この「壁」は正常な状態では十分でも、突破される可能性があります。すべてのサイトが同じマシン上で動いているため、この脆弱性を悪用すれば、悪意あるサイトが他のサイトのデータへのアクセスを試みることが可能です。

この場合、Meltdown・Spectreパッチの適用はホスティング事業者の責任です。自らホスティング会社に問い合わせ、対応計画が整っているかを必ず確認しましょう。

マネージドWordPressホスティング(WP Engine、Pantheonなど)

マネージドWordPressホスティングは、従来、共有ホスティングよりも高品質で安全な選択肢とされてきました。主要なプロバイダーの多くは、AWS、DigitalOcean、Google Cloudなどの大手クラウド基盤上でサイトをホストしています。マネージドホスティングは、同一サーバー上の他サイトへの影響リスクを減らします。しかし、MeltdownとSpectreはハードウェアレベルのバグであるため話が違います。専用コンテナでホストしていても、同じ物理マシン上で複数のコンテナが稼働している可能性があり、共有ホスティングと同等のリスクにさらされるのです。

多くのクラウドプラットフォームはすでに基盤の修正を完了しており、対応計画を公表しているところもあります。マネージドホスト側も、自社システムに対してMeltdown・Spectreのソフトウェアパッチを適用する必要があります。

クラウドホスティング(DigitalOcean、AWSなど)

クラウドプラットフォームから仮想サーバーをレンタルしてサイトを運営している方もいます。これらのプラットフォームでは、複数の顧客が1台の物理サーバーを共有します。顧客は独自のOSをインストールし、その上のスタック全体を管理できます。柔軟性は高いものの、基盤となるサーバーは共通のため、MeltdownやSpectreの脆弱性を突かれる可能性があります。

大手クラウドサービスは迅速にプラットフォームへパッチを適用していますが、仮想サーバー自体の管理責任はユーザーにあります。できるだけ早くOSをアップデートしてください。

専用サーバー

自前で所有・管理するサーバーでのホスティングは、複雑さとコストの面から一般的ではありません。しかし、そのような運用をしている場合は、このバグによるリスクは最小限です。それでも、OSは常に最新の状態に保つことをおすすめします。

自分のサイトが攻撃されているか確認できる?

残念ながら、攻撃を受けているかどうかを知るのはほぼ不可能です。これらはハードウェアレベルのバグであり、従来のログファイルに痕跡を残さずデータを窃取できるためです。攻撃はOSに依存せず、ソフトウェアの脆弱性にも依存しません。PCのチップ、モバイルデバイス、クラウドシステムのいずれでも機能します。

どうやって対策すればいい?

現時点で個人にできることは限られています。このバグはほぼすべての人に影響するためです。OSベンダーはすでに修正プログラムの提供を開始しています。ただし、これらは応急的なパッチであり、パフォーマンス低下という代償を伴います。Meltdownへの対策パッチは、CPU性能に5〜30%程度の影響を与えるとされています。一方、Spectre(およびその亜種)については、すぐに修正される見込みは立っていません。IntelやAMDといったチップメーカーが、今後同種の攻撃に対処し、チップの欠陥を防ぐ措置を講じることが期待されます。

近年、Intelプロセッサの設計上の欠陥や「Intel版Meltdown・Spectre」について多くの議論が交わされてきました。セキュアなIntelチップやAMDプロセッサを選ぶことで、PCを保護できる可能性もあります。

サポートはどこに問い合わせればいい?

大手ホスティング企業はすでにMeltdown・Spectreパッチの展開を始めています。サイトオーナーとしては、まずホスティングプロバイダーにシステムの対応状況を確認しましょう。まだなら、直ちに修正を適用するよう依頼してください。また、これらの修正がエンドユーザーにとって何を意味するのかも質問しましょう。サイトのパフォーマンスに影響はあるのか?その影響は訪問者にも見えるのか?

そもそもMeltdown・Spectre攻撃とはどのようなものなのでしょうか?

Google Project Zeroによる発見

上記の声明は、MeltdownやSpectreによるエクスプロイト(悪用手法)を要約したものです。実際、これらはサイドチャネル脆弱性(サイドチャネル攻撃)の一例にあたります。

Amazon、Google、AMDといった主要企業は1月に声明を発表し、最新のソフトウェアバージョンは安全であるとユーザーに保証しました。一方、Appleをはじめとする他の大手企業はまだコメントしていません。お使いのPCではウイルス対策ソフトを利用し、Spectre・Meltdownチェッカーで脆弱性の有無を確認することをおすすめします。Project Zeroに関するニュースや最新情報は、Googleチームの公式ブログでも確認できます。

新たに発見された攻撃の一覧

Meltdown-PK(Protection Key Bypass)

Meltdown-BR(Bounds Check Bypass)

Spectre-PHT-CA-OP

Spectre-PHT-SA-IP

Spectre-PHT-SA-OP

Spectre-BTB-SA-IP

Spectre-BTB-SA-OP

本記事が、皆さまの疑問解消の一助となれば幸いです。今後もセキュリティ関連の最新情報や、WordPressセキュリティの完全ガイドをお届けしていきますので、ぜひチェックしてください。