【重要】昨今のPHP脆弱性に関するWixサイトの安全性とセキュリティ対策について

昨今、サイバー攻撃やシステムの脆弱性に関するニュースが増えております。特に直近では、PHPの脆弱性（php2shell）が話題となっており、日本国内の多数のサービスで緊急メンテナンスや一時停止の対応が行われています。弊社で制作・運用をサポートしているWixサイトについて、お客様からご不安の声をいただくこともございますが、Wixで構築されたサイトは今回の脆弱性の影響を受けないことが確認されておりますのでご安心ください。

本記事では、Wixが脆弱性の影響を受けない理由と、Wixの堅牢なセキュリティ体制、そしてお客様ご自身でできるセキュリティ対策について解説いたします。

1. WixサイトがPHP脆弱性の影響を受けない理由

Wixエディタ（Wix StudioやWix Harmonyを含む）を使用して構築されたサイトは、今回のPHP脆弱性の影響を受けません。お客様側での特別な対応は不要です。

理由は以下の通りです。

PHPを使用していない

Wixのインフラストラクチャでは、サイトの構築や提供においてPHPは使用されていません。

一体型のインフラ環境

Wixの各サイトは独立したホスティング環境ではなく、プラットフォームのインフラ全体の一部として安全に構成されています。

カスタムコードの安全な実行

カスタムコードやサーバーサイドのロジックはすべてVelo（JavaScript / Node.js）を通じて実行される仕組みとなっています。

ファイルの制限

ユーザーが「.php」ファイルをアップロードしたり実行したりすることはできません。

第三者によるセキュリティレポートでも、ユーザー側での対応は不要であることが確認されております。

※一部影響を受ける可能性があるケース

以下の運用方法に該当する場合は、例外として影響を受ける可能性がございます。

ドメインのみをWixで管理している場合

サイト自体を外部のサーバーで運用している場合、その外部サーバー側の環境によっては影響を受ける可能性があります。外部ホスティング事業者からの案内をご確認ください。

Wix Headlessをご利用の場合

フロントエンドを別サービスで構築し、そのサーバーでPHPを使用している場合は影響を受ける可能性があります。

2. 世界基準をクリアしたWixのセキュリティ体制

Wixのプラットフォームは、専門のエンタープライズセキュリティチーム（SOC）が24時間365日体制で監視を行い、脆弱性に対して適切に対処しています。

国際的なセキュリティ認証の取得

PCI DSS Level 1やSOC 2 Type 2をはじめ、ISO 27001、27017、27018、27701などの第三者認証を取得し、年次監査を受けています。

データの暗号化と保護

通信時はHTTPSやTLS 1.2以上、保存時はAES-256を用いてデータが強固に暗号化されます。

高度な脅威対策

DDoS対策（攻撃の即時検知）や、機械学習による不正使用の阻止、自動での脆弱性スキャンを継続的に実施しています。

3. 情報漏洩を防ぐために皆様でできること

Wixのシステム自体は非常に強固ですが、アカウントの権限管理はお客様ご自身で行っていただく必要がございます。アカウントやデータの漏洩リスクを下げるため、以下の3点の設定確認をお勧めいたします。

管理者アカウントの2段階認証（MFA）

メール、SMS、電話、認証アプリ、Wixアプリなどを用いた多要素認証に対応しています。パスキー等の設定を行い、不正ログインを未然に防ぎましょう。

共同管理者のアクセス権限の見直し

不要になった共同管理者アカウントは削除し、現在のスタッフの作業内容（例：コンテンツ担当は編集のみ等）に合わせた適切な役割と権限を割り当ててください。

フォームやCMSに保存する情報の閲覧権限

顧客情報などが保存されるコレクション（CMS）の「このコンテンツを表示できるユーザー」を確認し、重要な情報を閲覧できる役割を必要最小限に絞り込んでください。お困りの際はお気軽にご相談ください

当社では、クライアント様の社内審査や稟議等でご活用いただける、Wix公式の「セキュリティ＆コンプライアンス資料」もご用意しております。

セキュリティチェックシートの作成に関するサポートや、サイト権限の適切な設定方法についてご不明な点がございましたら、お気軽に担当者までご連絡ください。

一般社団法人日本ワークパフォーマンス協会