PHPMailerの脆弱性CVE-2016-10033はExim4やWordPress4.6でも影響があった
エグゼクティブサマリ PHPMailerのリモートコード実行脆弱性CVE-2016-10033は、従来MTAとしてsendmailを用いる場合のみ影響があるとされていた。また、WordPressはPHPMailerをバンドルしているが、CVE-2016-10033によるWordPressに対するリモートコード実行攻撃はできないとされていた。しかし、MTAとしてExim4を用いる場合には、PHPMailer単体およびWordPress 4.6からのリモートコード実行が可能であることがわかったので報告する。 はじめに 昨年末に話題となったPHPMailerのリモートコード実行脆弱性CVE-2016-10033ですが、当初公表されていたPoCがsendmailコマンドの -X オプションを用いたものであったため、-X オプションのないMTA（postfix, qmail, exim4等）は直ちに
WordPress Way を知る本 「エンジニアのための WordPress 開発入門」 - Shin x Blog
著者の杉田さんに献本して頂いたので拝読しました。 PHP エンジニアのための WordPress 本 タイトルにあるとおり、普段フレームワークなどを使って Web システムを開発している PHP エンジニアのための WordPress 本です。 ユーザとして WordPress を利用するのではなく、PHP エンジニアとしてどのように扱うのか、どのように付き合うのか視点で書かれているので、興味深く読むことができました。 序盤で、おおっと思ったのが、第 2 章です。WordPress のインストールにの次に紹介されているのが、いきなり、WP_DEBUG をはじめとしたデバッグモードに関する定数、Debug Bar プラグイン、コマンドラインツールの WP-CLI、そして開発用仮想環境を構築する VCCW という流れになっています。 PHP エンジニアが、WordPress を触るための環境構
WordPress 4.7.1 の権限昇格脆弱性について検証した
エグゼクティブサマリ WordPress 4.7と4.7.1のREST APIに、認証を回避してコンテンツを書き換えられる脆弱性が存在する。攻撃は極めて容易で、その影響は任意コンテンツの書き換えであるため、重大な結果を及ぼす。対策はWordPressの最新版にバージョンアップすることである。 本稿では、脆弱性混入の原因について報告する。 はじめに WordPress本体に久しぶりに重大な脆弱性が見つかったと発表されました。 こんな風に書くと、WordPressの脆弱性なんてしょっちゅう見つかっているという意見もありそうですが、能動的かつ認証なしに、侵入できる脆弱性はここ数年出ていないように思います。そういうクラスのものが久しぶりに見つかったということですね。 WordPress、更新版で深刻な脆弱性を修正 安全確保のため情報公開を先送り Make WordPress Core Conten
「ざっくり分かる WordPress サイトのチューニング」を WordCamp 2016 で発表してきました。 - Shin x Blog
2016/07/09、10 に大阪大学 豊中キャンパスで開催された WordCamp Kansai 2016 にて、WordPress サイトのチューニングについて発表しました。 https://twitter.com/digitalcube/status/751693759121731584 発表資料 今回は、PHP（WordPress）エンジニアでなくても何か役立ててもらえるようにチューニングの具体的な手法というよりは、実際に手を動かすエンジニアと意思疎通がスムーズになるように基本的な考え方をメインにお話しました。 「推測するな、計測せよ」という格言があるとおり、チューニングにおいても、まず大事なのは「計測する」ということです。計測せずにやみくもにチューニングを行っているケースを見聞きするので、ここからはじめる内容にしました。 後半は、キャッシュを中心に紹介したのですが、最後の Var
WordPress Packagist: Manage your plugins and themes with Composer
WordPress Packagist This site mirrors the WordPress plugin and theme directories as a Composer repository. How do I use it? Add the repository to your composer.json Add the desired plugins and themes to your requirements using wpackagist-plugin or wpackagist-theme as the vendor name. Run $ composer.phar update Packages are installed to wp-content/plugins/ or wp-content/themes/ (unless otherwise sp
「先取り！PHP 7 と WordPress」を発表しました
今年の 11 月にリリース予定の PHP 7 上で、WordPress を動かすとどうなるか、ということをデモを交えて紹介しました。 デモでは、9 年間稼働している本ブログ（Shin x blog）のコードを PHP 7 で動かしたりしてみました。そのままは動かないので、エラーメッセージを表示して、修正して、という作業を壇上で行い、最終的には表示するところまで進めました。PHP 7 への移行作業の雰囲気が伝われば嬉しいです:) WordPress では、PHP 7 の新機能よりも、パフォーマンスアップの方が恩恵が大きいと思うので、PHP 5.6 との比較も行っています。 WordCamp Kansai 2015 雑感 私は、2 日目の夕方のセッションだったので、午後に会場入りして、いくつかセッションを見ていました。そこで感じたのが以下でした。Web エンジニアが見て面白いセッションがいくつ
Best Practices for WordPress on AWS
Best Practices for WordPress on AWS Reference architecture for scalable WordPress-powered websites First Published December 2014 Updated October 19, 2021 Notices Customers are responsible for making their own independent assessment of the information in this document. This document: (a) is for informational purposes only, (b) represents current AWS product offerings and practices, which are subjec
WordPress JSON REST API に OAuth でログインしてみた
まとめ：割と大変（今のところ）。 WordPress JSON REST APIとは WordPress JSON REST APIとは、WordPressの外部からWordPressのデータベースにアクセスできるAPIのことです。まだWordPressに組み込まれた機能ではありませんが、すでに注目を集めている新機能のひとつです。バージョン4.1のマイルストーンに組み込まれていますので、近い将来にコアに組み込まれると思われます。他の新機能と同様プラグインで開発が進められています。 このAPIを使うと、WordPressとやりとりできるリソースはURIで表され、JSON形式のデータでやりとりすることができます。RESTの概念を説明しだすと長くなるのですが、要するにかんたんにシステムとデータのやり取りをするための人気のある規格と覚えておいていただければと思います。実際に、これまでもXML-RP
Simplicity
WordPressテーマ「Simplicity（シンプリシティー）」を作成しました。 Simplicityには主に、以下の7つの特徴があります。 シンプル 内部SEO施策済み 拡散のための仕掛けが施されている 端末に合わせた4つのレスポンシブスタイル 手軽に収益化 ブログの主役はあくまで本文 カスタマイズがしやすい 以下で詳しく説明します。 Simplicityは、とにかくシンプルなWordpressテーマを作ろうという考えの下作成しました。 テーマの名前「Simplicity」には以下の意味があります。 単純 簡単 容易 簡素 質素 飾り気のない よく言えばシンプル、悪く言えば地味なテーマです。 余分な飾り気をすべて取り除き、ユーザーが自ら自由なスタイルで後からカスタマイズしやすい土台となるように考えて作りました。 もちろんそのままでも十分使用できます。 検索エンジンへの最適化（SEO）
「WordPressサイト制作におけるデプロイメントを考える」フォローアップ #wckansai | Waviaei
先の投稿でも書いたとおり、6月7〜8日開催されたWordCamp Kansai 2014に参加し、公募枠で登壇してきました。 セッションを聞いてくださった皆様、ありがとうございました。 セッションのタイトルは「WordPressサイト制作におけるデプロイメントを考える〜Gitとデプロイメントサービスの活用〜」です。概要はというと、WordCamp Kansaiのサイトからの引用になりますが： 現在WordPressサイトの構築や更新には、FTPもしくはSFTPソフトを利用したデプロイメントが主流です。サイト全体の引っ越しであれば、あるいはrsyncやscpといったコマンドを使う場合もあるでしょう。しかし手動で行う作業や、不慣れなコマンドを使うことにより、ミスしたり、時間が掛かったりしませんか？ 一方で、最近は開発にGitを用いたVCを実践している、あるいは検討、勉強しているという方も少しず
[記事移転済]WordPressサイトを構築するといくらかかる？ 見積り勉強会で価格を出してみた | WordBench
はじめまして。このようなやり方の勉強会では以下の理由により意味がないと思います。 ・依頼主の予算感や運用に対する具体的な数字がでていない ・依頼主とのすり合わせができていない ・案件を段階的に進める事が想定されていない 見積は依頼の背景がクリアになって初めて価格の適正が評価可能になりますので、本件のようなスタンスで”典型的なWordPressサイトの見積りでも現状はまだまだ標準的な見積手法が確立されていないことが分かります”とコメントしてしまうのは「無限に広がる土地に家を建てるならこんな設計」って提案を複数並べて「いやー予算と間取りがバラつきましたね。これはまだ建築設計に標準的な工法が無いことを示しています」とコメントしてしまうことと同意で、見積金額がばらつくのは自明です。 また、金額の多寡は状況に依存しますので普遍的に評価することは難しいと思います。逆説的に言えば平均的な価格よりも多少高
HyperDBとlsyncdを使用したWordPress冗長構成 | GREE Engineering
こんにちは。開発統括本部の勝又 健太です。 このエントリは GREE Advent Calendar 2013 4日目の記事です。 自己紹介 はじめての投稿なので簡単に自己紹介させて頂きますと、言語はC++/C#/Perl/Java/Ruby/Python/PHP、開発フレームワークはMFC/.NET Framework/Struts/Ruby on Rails/Django/各種PHPフレームワーク、DBに関してはOracle/SQLServer/MySQL/Postgresqlなどなど色々と経験しておりまして、なんでも屋的な雑食系エンジニアです。昔はマンガ作成用グラフィックソフトとか動画キャプチャソフトとかも作っとりました。 Windows/ASP.NET系の開発を8年ほど経験して、その後Linux系に転向して今に至ります。インフラ周りやミドルウェアなども大好物です。(今後はスマホネイ
WordPress を Docker で動かす（ OSX / Vagrant ）
Shin x blog Advent Calendar 2013 の 9 日目です。 Docker で PHP アプリケーションを動かしてみようということで、WordPress でやってみます。 WordPress 用 Docker コンテナを作る Docker は現状 Linux 上でしか動かないので、OSX 上では直接動きません。Vagrant で Linux（CentOS）の仮想マシンを作り、その上で Docker を動かします。 さっそく Linux 環境から WordPress が動く Docker コンテナまで、一気に構築できる Vagrantfile を作りました。これを使うだけで環境構築は終わりです。 shin1x1/vagrant-docker-wpdev まず、GitHub から git clone します。 $ git clone https://github.com
コマンドラインから WordPress を操作する wp-cli 初級編 - dogmap.jp
WordPress 3.6.1 が出たので、記念に wp-cli の紹介。(なんの記念だ) wp-cli は、WordPress への各種の操作(本体のインストール・アップデートから plugin、theme のインストール・アップデートまで、すべてのことが！)をコマンドラインから行えるようにするツールです。 # curl https://raw.github.com/wp-cli/wp-cli.github.com/master/installer.sh | bash これだけで ~/.wp-cli/bin/wp というコマンドが使えるようになります。 wp-cli が正常にインストールできたか確認するには、以下のコマンドで確認できます。 # ~/.wp-cli/bin/wp --info PHP binary: /usr/bin/php PHP version: 5.4.19 php.
【緊急警報!!】ロリポップとGMOのinterQのWordPressが軒並み乗っ取られてます｜More Access! More Fun
さきほどWordPressフォーラム見てましたら、ぞっとするようなトピが立ちました。 サイト改ざん？ http://ja.forums.wordpress.org/topic/24503 サイトが急に文字化けになり、困っております；； Hacked by Krad Xinと黒の上部ツールバーにあり、サイトが改ざんされてしまったのでしょうか？ ハッカーの声明リストを見ると、日本のサーバで乗っ取った宣言のがずらり これはほんの一部です。おそらく数千、数万の被害が。 ※追記 DN乗っ取りでなければ数百〜千単位で済むかもしれないですが・・ただ攻撃は28日深夜から29日朝にかけても続き、被害は増大しています。 8/29 11時のリリースだと4802件だそうです。 くれぐれもリストにあるところは見に行かないように・・・感染してしまう可能性があります!! でもってドメインを検索して見ると、ほとんどがロリ
CMSの脆弱性を悪用するスパムボット「Stealrat」による感染を確認するには？ | トレンドマイクロ セキュリティブログ
トレンドマイクロは、この数カ月間、スパムボット「Stealrat」を積極的に監視しています。このスパムボットは、2010年ごろから確認されているようですが、2012年末頃からアダルト関連や偽医薬品関連のスパムメールを頻繁に送信することが確認されています。そして、スパムメール送信のため主に、改ざんされたWebサイトおよびそのシステムを利用しています。このスパムボットの運用状況を監視する過程で、弊社は、約19万5千もの改ざんされたドメインおよび IPアドレスを特定しました（期間：2013年4月～7月末）。これら改ざんサイトの共通点として、このスパムボットを操作するサイバー犯罪者は、脆弱性を抱える「コンテンツ管理システム（CMS）」を使用する Webサイトを悪用しており、確認した CMS として、「WordPress」や「Joomla」、「Drupal」が挙げられます。 今回、こうした状況を考慮
Vagrant Press - Asians Usually Have Toilet Paper At Home
Our world is extremely diverse in every way. Customs, traditions, culture in general tend to change from one place to another easily. Even within the same country as in Brazil, for example, where the customs of people from the North are totally different from the culture of those who live in the South. Now, imagine the even greater difference between one country and another or, even more, between
WordPressのセキュリティ対策に2要素認証を使う : candycane development blog
WordPressのログインフォームへの攻撃が問題になっているみたいですが、ユーザー名とパスワードだけの認証という方式自体を見なおしてみるという方法があります。具体的にはユーザー名とパスワードに加えてスマートフォンに表示される認証コードを入力してログインする2要素認証がWordPressでも利用できます。 利用するには下記のプラグインを使います。 WordPress › Google Authenticator « WordPress Plugins また下記のアプリケーションをスマートフォンにセットアップしてください。 Google 認証システムのインストール – Google アカウント ヘルプ プラグインを有効にするとアカウントごとのパスワード設定ページにアプリに読み込ませるQRコードが出てくるのでこれをアプリでスキャンします。またこの認証を使うかどうかはアカウントごとに有効かど
さくらVPS512で、Yahoo!砲食らっても WordPress を平常運転させるための設定 - dogmap.jp
2010年の年末に、「カイ士伝」のさくらVPSへの引っ越しを手伝ったわけですが、その後も元気にサーバは動き続けているようです。 引っ越し当初は、Web サーバとして lighttpd を導入してたんですけど、僕の個人的な好みがかわって、途中で Nginx に切り替えました。 特に大きなトラブルもなくサクサクと動いてたようですが、昨日突然の Yahoo!砲で、平常時の数倍のアクセスがあったようです。 Yahoo!砲くらったけど月額980円のさくらVPSとチューニングでサーバー落とさず乗り切ったよ – カイ士伝 ただ、アクセスが大量にあった初日(1記事に5.5万PV)にもサーバ負荷が高くなってるとか気付かずに、余波でちょっと多くなってた翌日(1記事に1.3万PV)に気づいたというくらいの平常運転っぷり。 Nginx 痺れますわー。 僕は、カイ士伝の WordPress ダッシュボードにログイン
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
WordPress Cloud Design Pattern
