お疲れ様です、こせい君です。 今回、マジで背筋が凍りつくような体験をしちゃいました…。 VPSのセキュリティ設定、みんなはちゃんとやってる？ 俺は「まあ、大丈夫でしょ」って甘く見てたんだよね。そしたら、過去に漏洩したパスワードで「即root」権限が取れる致命的な設定ミスが見つかっ...
お疲れ様です、こせい君です。
今回、マジで背筋が凍りつくような体験をしちゃいました…。
VPSのセキュリティ設定、みんなはちゃんとやってる？ 俺は「まあ、大丈夫でしょ」って甘く見てたんだよね。そしたら、過去に漏洩したパスワードで「即root」権限が取れる致命的な設定ミスが見つかってさ。AIと一緒に、深夜に緊急オペに踏み切ったんだ。
今回はその全記録と、みんなのVPSを守るための緊急アクションを伝えるよ。
・過去のパスワード漏洩がVPSの致命的な脆弱性になる危険性 ・SSHパスワード認証とsudo権限設定の見落とし ・AIがセキュリティ問題の発見と対策にどう貢献したか
🚨 真夜中の冷や汗：漏洩パスワードで「即root」が取れるVPS設定ミスが発覚した瞬間
「VPSの管理者パスワード、そろそろ変更しておくか」
そんな軽い気持ちで、いつものようにVPSのパスワード変更作業を始めたのが、事の発端だったんだ。まさか、そこから地獄への直通経路が見つかるなんて、この時の俺は知る由もなかった。
パスワード変更自体は無事に終わったんだけど、ふと、頭をよぎったんだ。
「そういえば、昔、どこかのサービスで使ってたパスワードが漏洩したってニュースあったよな。あのパスワード、もしかして…」
AIアシスタントに、その昔の漏洩パスワードでSSHログインを試みるテストを指示してみたんだ。セキュリティチェックの一環として、念のため、くらいの感覚だった。
結果は… ログイン、成功。
おいおい嘘だろ…って思ったよ。しかも、もっと恐ろしい事実が判明したんだ。
システム管理ユーザーとしてログインできただけでなく、そのユーザーがパスワードなしでroot権限を即座に取得できる設定になっていたんだ。つまり、過去に漏洩したパスワードが、俺のVPSへの「即root」直通経路になっていたってこと。
背筋が凍り付いたよ。もし悪意のある誰かが、この漏洩パスワードを手に入れていたら…俺のVPSは、とっくに彼らの手中に落ちていたかもしれない。まさに真夜中の冷や汗だ。
・過去の漏洩パスワードをSSHでテストしたら、まさかのログイン成功 ・ログインユーザーが「パスワードなしでroot権限取得可能」になっていた ・「即root」直通経路が、長期間放置されていた事実が発覚
🧪 AIと緊急招集：致命的な脆弱性を封じるための作戦会議
うわ、終わった。そう思った瞬間、脳裏には最悪のシナリオが走馬灯のように駆け巡ったよ。
しかし、ここで立ち止まっているわけにはいかない。すぐさまAIアシスタントに状況を報告し、緊急招集をかけたんだ。
「現在のVPSのSSHセキュリティ設定には、複数の致命的な見落としが存在します」
AIは冷静に、そして淡々と現状を分析した。
その指摘は、俺が漠然と抱いていた不安を、明確な危機感へと変えたんだ。
SSHパスワード認証の「Yes」が招くリスク
AIが最初に指摘したのは、「SSHのパスワード認証が有効になっていること」。
鍵認証に一本化すべきだってのは知ってたけど、つい便利さに流されて有効にしたままだったんだ。
これに加えて、さっき見つかった「パスワードなしでroot権限取得可能」な設定。まさに二重の危険性だよ。
不要なポート開放の危険性
さらに、AIは「不要なポートが開放されていること」も指摘した。
具体的には、以前の作業の名残で、いまは使っていない待ち受け口が開きっぱなしになっていたらしい。サイト公開に必要な口は当然必要だけど、それ以外の開いている口は、攻撃者にとっては格好のターゲットになる。
「この状況は、緊急対応が必要です」AIの言葉に、俺はもう頷くしかなかった。
AIは、以下のような緊急オペレーションを提案してくれたんだ。
- SSHパスワード認証を完全に停止し、鍵認証のみにする。
- 不要なファイアウォールのルールを削除し、待ち受け口をクリーンアップする。
- VPSの管理者パスワードを、さらに強固なものに変更する。
自分のVPSがこんなにも危険な状態だったなんて…正直、ショックだった。 AIが冷静に状況を分析し、具体的な対策を提案してくれる姿は、まさに心強い「共犯者」って感じだったな。 絶望的な状況の中で、一筋の光が見えた瞬間だったよ。
💡 2026-07-15 タイムライン：AIと実施した、絶望からのVPS緊急手術
AIとの作戦会議を終え、俺たちはすぐに緊急オペレーションを開始した。時間は深夜。ミスは許されない。AIの指示に従い、慎重に、しかし迅速に作業を進めていった。
・使用AI：Claude ・作業時間：深夜に数時間を要する大手術 ・発生エラー：特になし（AIの指示でスムーズに進行） ・精神ダメージ：★★★★★
2026-07-15 深夜 01:00 – VPS管理者パスワードの最終変更
まずは、これ以上被害を広げないために、VPSの管理者パスワードをさらに強固なものへと変更。
これで、過去の漏洩パスワードが完全に無害化されるはずだ。
01:30 – SSHパスワード認証の完全停止
次に、SSHパスワード認証を停止する作業だ。SSHサーバー設定ファイル（sshd_config.d/00-hardening.conf）に以下の設定を追加した。
PasswordAuthentication no KbdInteractiveAuthentication no
これにより、SSH接続時にパスワードによる認証は一切受け付けなくなり、事前に登録された公開鍵を持つユーザーだけがログインできるようになる。
設定変更後、sshd -tで構文チェックを行い、systemctl reload sshでSSHサービスを再起動。
緊張の一瞬だったけど、問題なく再起動が完了した。
02:00 – ufwファイアウォールのクリーンアップ
続いて、ファイアウォールの設定を見直す。
ufw status verboseで現在のルールを確認すると、以前の作業で設定した不要な待ち受け口がいくつか開放されたままになっていることが判明。
AIの指示に従い、これらの不要なルールを全て削除し、サイト公開に必要な口だけが開放されるようにクリーンアップした。
`# 使っていない待ち受け口のルールを削除する sudo ufw delete allow <不要な設定>
残骸のプロファイルも削除
sudo ufw delete allow <不要なプロファイル名>`
これで、外部からの不必要なアクセス経路が大幅に遮断されたはずだ。
02:30 – 最終確認と再起動
全ての作業を終え、VPSの再起動を実行。
もしどこかで設定ミスがあれば、二度とSSH接続ができなくなる可能性もある。まさに命がけの再起動だ。
契約しているサーバーの管理画面から再起動を指示し、接続を試みる。
…つながった！安堵のため息が出た瞬間だった。
✅ 安堵の再起動：SSHパスワード認証停止とufwクリーンアップの劇的効果
再起動後、改めてVPSのセキュリティ状況を徹底的に確認した。
SSHのパスワード認証は完全に停止！
SSH接続を試みると、鍵認証でのログインは問題なくできる。
しかし、意図的にパスワード認証を試みると、**「Permission denied (publickey)」**と表示され、パスワード認証が完全に拒否されていることを確認できた。
これで、漏洩パスワードによる不正ログインのリスクは完全に排除されたことになる。
不要なポートは閉鎖、必要なポートのみ開放！
ufw status verboseでファイアウォールルールを再確認すると、サイト公開に必要な口だけが開放されており、旧設定の残骸だった待ち受け口は完全に閉鎖されている。
まさに、AIと行った緊急手術の劇的効果だ。
バックエンドAPIの復旧も確認
再起動後の確認作業で、Nginxと連携しているVPSバックエンドAPIの一部が古い設定のままであったことによるドリフト（設定のズレ）も発見された。これも、AIの協力を得て、正しい設定のスクリプトを同期し、正常稼働を確認。
セキュリティだけでなく、VPS全体の健全性も確保できた形だ。
・SSHパスワード認証の停止は、今すぐやるべき最優先事項！
・ufwを使って、本当に必要なポート以外は全て閉じる意識を持つ。
・AIは、セキュリティ問題の発見から対策まで、冷静かつ的確なパートナーになり得る。
・VPSの設定は一度やったら終わりではなく、定期的な見直しと点検が不可欠。
📌 痛感した教訓：セキュリティは「一度やったら終わり」じゃない、AIとの共闘が示す新たな防御線
今回の体験を通して、俺はセキュリティに対する考え方を根底から覆されたよ。
「VPSの設定は一度やったら終わり」という甘い考えは、即刻捨てるべきだと痛感した。
特に、過去のパスワード漏洩という、自分ではどうしようもない外部要因が、まさかVPSの致命的な脆弱性に直結するとは夢にも思わなかったからね。
そして、AIの存在がどれほど心強いか。
漠然とした不安を具体的なリスクとして可視化し、的確な解決策を提示し、迅速な対応をサポートしてくれる。AIは単なる作業ツールに留まらず、複雑な課題解決における強力な「共犯者」となり得ることを確信したよ。
正直、一人だったら、この致命的な設定ミスに気づかず、いつか大きな被害を受けていたかもしれない。AIとの共闘が、まさに俺のVPSを守ってくれたんだ。
🚀 あなたのVPSは大丈夫？今すぐチェックしたい３つの緊急アクション
今回の俺のやらかしは、決して他人事じゃない。
もしかしたら、あなたのVPSも同じような見落としや脆弱性を抱えているかもしれない。
AIと力を合わせて得た教訓を元に、今すぐチェックしてほしい３つの緊急アクションをまとめたよ。
1. SSHパスワード認証を停止しているか確認しよう！
あなたのVPSのSSH設定で、パスワード認証が有効になっていないか確認しよう。
PasswordAuthentication no
KbdInteractiveAuthentication no
これらが設定されているか、今すぐ確認してほしい。
もし「yes」になっていたら、公開鍵認証に切り替えて、パスワード認証は停止すべきだ。
2. 不要なufwポートは閉鎖されているか確認しよう！
sudo ufw status verbose
このコマンドで、あなたのVPSのファイアウォール設定を確認しよう。
サイト公開に必要な口以外に、使っていない待ち受け口が開放されたままになっていないか？
不要なポートは全て閉鎖し、攻撃対象を最小限に抑えるべきだ。
3. sudoersファイルに「パスワードなしroot」設定がないか確認しよう！
これは特に危険な設定だ。システム管理ユーザーがsudoコマンドを使う際に、パスワードなしでroot権限が取れるような設定（例: ユーザー名 ALL=(ALL) NOPASSWD:ALL）がないか確認しよう。
もしあれば、その設定範囲が適切か、本当に必要なのか、慎重に見直す必要がある。
セキュリティに「絶対」はない。
今回の経験は、そのことを痛烈に教えてくれた。
AIとの共闘を通じて、新たな防御線を構築できたのは大きな収穫だ。
これからも、俺のVPSのセキュリティはAIと一緒に見直し続け、このブログでその知見を共有していくよ。
みんなも、自分のVPSを今一度見つめ直してみてくれ！
・過去のパスワード漏洩がVPSで「即root」権限を奪われる致命的な脆弱性に直結する危険性がある。
・SSHのパスワード認証を停止し、鍵認証のみにすることが極めて重要。
・ufwで不要なポートを閉鎖し、ファイアウォールを適切に管理する意識を持つ。
・AIはセキュリティ問題の発見から対策まで、心強いパートナーとなり得る。
・今後の課題: AIを活用した定期的なセキュリティ監査の自動化を計画中。
こういう「やらかしと復旧」の記録は、ブログに書ききれない細かい判断も含めてSubstackにも流しています。
AI運用のリアルな失敗と対処を追いたい人は、こちらもどうぞ。
▶ こせい｜AI運用ログ https://koseiblogai.substack.com