自宅サーバーならPHPの穴にも強い？共用サーバー・VPS・自宅サーバーを比べてみた
この記事でわかること
PHPの重大な穴（PHP2Shell）で、レンタルサーバーでは「サーバー会社の修正を待つしかない」と分かりました。
そこで考えました。
「自宅サーバーならどうだろう。被害の前にコンセントを抜けばいいし、パッチもすぐ当てられる。トンネルを作って、許可した人だけアクセスできるようにすれば、もっと安全なのでは？」
半分は、そのとおりでした。
自宅サーバーの「合っている」ところ
- パッチをすぐ当てられる：サーバー会社を待たずに、自分で更新できる
- 入口で人を絞れる：Cloudflare AccessやTailscaleのような仕組みで、許可した人しか入れないようにできる
- 最後は物理的に止められる：コンセントを抜ける
特に2つ目は強力です。
今回の穴は、WordPressのログインより手前で突かれます。WordPressの中で「家族だけ」にしていても役に立ちません。
でも、入口で人を絞れば、知らない人のアクセスはPHPまで届きません。
落とし穴
- 気づけるかどうか：自動の攻撃は、公表から短時間でやって来ます。寝ているあいだや旅行中なら、抜く前にやられます
- パッチを当てるのは自分：すぐ当てられる代わりに、忘れたら誰も助けてくれません
- 入られたら家の中まで：自宅のネットワークに置くと、家族のパソコンやNASまで狙われます
- 公開サイトには使えない：人を絞る方法は、誰でも見に来るお店のサイトには向きません
そこで、レンタルのVPS
「自分専用のサーバーを、サーバー会社の建物で借りる」のがVPSです。
自宅サーバーの良いところを取りつつ、家に危険を持ち込みません。
| 共用サーバー | レンタルのVPS | 自宅サーバー | |
|---|---|---|---|
| PHPの修正 | 会社がやる（待つしかない） | 自分ですぐできる | 自分ですぐできる |
| サイトごとの部屋分け | しにくい | Dockerでできる | Dockerでできる |
| 破られたときの家への影響 | なし | なし | 家族のパソコンまで危ない |
| 停電・回線 | 会社が面倒を見る | 会社が面倒を見る | 自分 |
| 手間 | ほぼなし | 更新は自分 | いちばん多い |
どれを選べばいい？
| サイト | 向いている置き場所 |
|---|---|
| 家族ブログ・社内ツールなど、見る人が決まっている | VPS（または自宅）＋入口で人を絞る |
| お店・会社の公開サイト | 共用サーバー（会社に面倒を見てもらう）が無難 |
| 自分で更新を回せる人の公開サイト | VPS＋Dockerで部屋分け |
結局のところ、「どこに置くか」より「誰が、どれだけ早く更新するか」で安全は決まります。
自分で回せるならVPS、任せたいなら共用サーバー。その選び方がいちばん現実的だと感じました。
共用サーバーで今すぐできることは、こちらにまとめました。
TAG
