セキュリティ

何かよく分からない事象にハマってます。
もし原因や解決法などをご存知の方が居ればぜひ情報を……。

• 同一ドメインにおいて（仮に「http://www.hoge.jp/」とします）
• Firefox で保護されていない特定のページ（「http://www.hoge.jp/〜」）から保護されている特定のページ（「https://www.hoge.jp/〜」）へリンクしたとき
• 「一部しか暗号化されていない」という状態になる
• そのページをリロードすると、その事象は解消される（すべて保護されている状態になる）
• 同じリンク元ページの別の箇所から、まったく同じ URL にリンクしても、上記のような事象は発生しない（すべて保護されている状態になっている）
• リンク先 URL を直接入力したり、他のページからリンクしても、やっぱり事象は発生しない
• つまり、特定のページの特定の箇所にあるリンクでのみ、事象が発生している（再現性あり）
• IE、Safari、Google Chrome といった他のブラウザでは特にそういったことは起こらない
• 逆に Opera では、どの保護されていないページ（「http://www.hoge.jp/〜」）からであっても、保護されているページ（「https://www.hoge.jp/〜」）へリンクした場合、「保護されてはいません」となる
• Opera の場合、Windows ではリロードすると解消される（保護されている状態になる）が、Mac だとリロードしても解消しない（URL を直接入力してもダメ）
• このサイトは PHP で構築されていて、ファイル名によって「http://」と「https://」を 302 リダイレクトで切り替えている（「info.php?〜」なら「http://」、「edit.php?〜」なら「https://」という具合）

という感じです。
もう、まったく意味が分からないんですけど……。

btmup 関連のサイトに使ってる WordPress のバージョンを、2.8.4 に上げました。

何だか今回のバージョンアップはこれまでのものと趣が違ってますね。
WordPress 公式ブログの記事を筆頭に、色んなところで「安全に WordPress を使いたかったら一刻も早く 2.8.4 へアップデートしなさい！」的な記事がアップされています。

• WordPress | 日本語 » WordPress を安全に使い続ける方法
• 警告！ WordPress旧版は簡単に乗っ取られる―即刻アップデートを
• WordPress 2.8.4未満を使用している場合は要アップデート | コリス
• 『WordPress』旧版にワーム感染のおそれ – japan.internet.com Webテクノロジー

上記の記事で紹介されているところによると、以下のような点に注意すべきとのこと。

あなたがWordPressのユーザーなら次の2点に注意すること。ブログが乗っ取られている証拠だ。
まず、パーマリンクに奇妙なコードが付加されている。たとえば、
example.com/category/post-title/%&(%7B$%7Beval(base64_decode($_SERVER%5BHTTP_REFERER%5D))%7D%7D|.+)&%/.
キーワードは“eval”と“base64_decode”だ。
第2に、「隠されたバックドアー」に注意すること。不審な管理者が設定されていないかチェックする。“Administrator (2)”や見慣れない名前の管理者が登録されていないか調べること。

いつもは「バージョンアップしましたからアップデートしてね」くらいの、単なるプレスリリースでしか無かったと思うんですけど。
今回はそれだけ危ないセキュリティホールが見つかったということなんでしょうか。

まぁよく分からないんですが、放ったらかしにしとくのも怖いのでとりあえずアップデートしといた方が良いでしょうね。
2.8 に上がってからだいぶ時間も経ってますから、「プラグインが効かない！」なんてことも少ないかと。
（僕のは今のところ大丈夫っぽいです）

あ、アップデートするときはバックアップをお忘れなく。
タカをくくったときほど事件は起きたりしますから。

»WordPress のバックアップ – WordPress Codex 日本語版

それでは皆様、ご安全に！

−＋−＋−＋−

「2.8.4 にアップデートしないことがどれだけ危険か」ということを切々と書いている WordPress.org のブログですが、ソースを見たら衝撃の事実が。

なんと、バージョン 2.6 ！！
こういうのを見てしまうと、どれだけ力説されても説得力に欠けますよね……。
なんだかなぁ……。

ちなみに、本家の方のバージョンは「WordPress 2.9-rare」でした。
何だ、「rare」って。