【重要】改ざんされたアカウントは一時的に凍結します
お問い合わせが多いので予めこちらに記載しておくことにします。
最近また、ユーザさんのコンテンツが改ざんされ、知らない間に不正プログラムが内部で実行されているケースが散見されます。
当サーバでは、簡易的なWeb Application Firewallにて対策を施しているものの、それでもなおWebコンテンツ（CGIやPHPなど）の脆弱性を突かれ重大なセキュリティホールとなっています。
この結果、バックドアを仕掛けられてサイト自体がマルウェア感染している状況が見られます。
このような場合、管理人としては個別にコンテンツを修復して回るわけにはいかないため、放置ユーザ対策のためにも一時的に該当アカウントを凍結します。
自分のサイトやFTP、コンパネに接続できない等の現象になりましたら、まずはこれを疑って下さい。
管理人に個別に連絡頂ければ一時的に凍結を解除しますので、速やかにコンテンツの確認と修復を試みて下さい。
また、自分のサイトに原因がなく、別ユーザのコンテンツの改ざんによって自分のサイトも改ざんされてしまうケースもありますので、自サイトのファイルやディレクトリのパーミッションは可能な限り最小限の権限に設定して下さい。
| フォルダ（ディレクトリ） | 755, 705, 701 |
| .html / .php / .zip などのファイル | 644, 604 |
| .htaccess | 644, 604 |
| .cgi / .pl などの CGI 実行ファイル | 755, 705, 700 |
| .cgi / .pl などの直接実行されないライブラリファイル | 600 |
| .txt / .dat / .log などのデータファイル | 600 |
こちらで何度も掲示していますが、
WordPress等のCMSやその他PHP、CGI等のプログラムについては、そのプラグインやデザインテーマも含めて常に最新化するよう徹底して下さい。
長年更新がされていないような古いプログラムの利用は避けて下さい。
今後、状況が悪化する場合は、当サーバが加害者にもなってしまう話なので、サービス提供を全体的に終了する可能性もあります。
以上です。
ご協力のほど宜しくお願いします。
長年更新がされていないような古いものを更新するよう促す一つの方法として、スクリプト言語の実行ファイルのバージョンを、安定している範囲で、かつ借りているクラウドで利用可能な範囲で、上げてしまうという手段はあるのではないかと思います。動作しなくなったらCGIやアプリケーションのバージョンアップ・入れ替えをせざるを得ないでしょうから。
どこまでバージョンをあげるかについては、利用者から情報をもらって対応するしかないのかなと思います。場合によっては一度上げたスクリプト言語のバージョンを少し下げるとか、ですね。
ちなみに、家Tサーバで現在利用可能なRubyのバージョンは2.0.0-p648ですが、バージョン2.0系列どころかバージョン2.1系列すら、公式サポートが終了しています。
http://www.ruby-lang.org/ja/news/2017/04/01/support-of-ruby-2-1-has-ended/
コメントありがとうございます。
PHPのバージョンについては現在5.6系ですが、本当は7.1にしたいと思っています。
ただ、WordPressは大丈夫なんですが、コンパネのバージョンアップが必要であったり、一部知人のコンテンツも動かなくなる事を確認しています。
なので次回OSをアップグレードなり、新サーバに移行なりするまでは、メジャーアップはやはり難しいかなと思ってます。
rubyに関しても2.4系を入れたいのですが、これがまた中々面倒で。yumでサクっとsystem rubyが最新化できれば良いんですけどね。
あと、最近は仕事にしても家Tにしてもモチベーションがちょっと下がっちゃってます。とは言え家Tをいきなりやめたりするつもりもないわけですが。