2013.08.30 2時: CGIの作動についての追記あり
2013.08.30 14時: 各種CMSで、従来のフルパスでも利用可能な状態に戻ったようです。
2013.08.29: 初出
このページ内の情報は古くなってます。(設定は確認したほうが良いけど) レンタルサーバー側で対策が取られています。
ご存知の方も多いかと思いますが、現在、ロリポップ上のWordpressで運営されているWebサイトで、大規模なハッキング被害が発生しています。
ニュース
「ロリポップ！レンタルサーバー」に大規模攻撃--WordPressサイト4802件が改ざん - CNET Japan
ロリポップの対策状況
当社サービス「ロリポップ！レンタルサーバー」ユーザーサイトへの第三者による大規模攻撃について / 新着情報 / お知らせ
ロリポップ上では、Wordpressだけが被害を受けているような感じですが、その他のCMSもとばっちりを食っています (大きな被害は無いけれど、CGIが作動しなくなったり、CMS自体が作動しなくなったり、Webページが正常に表示できないなどの不具合が発生している)
Wordpress以外の被害状況
ロリポップ上のXOOPSも影響が出ているようです。
あと、大きく騒がれていませんが、MovableType や CGI ページなども影響が出ています。
ロリポップの対策の一部(？)で、ユーザ ディレクトリの階層に変更が加わっています。
旧/home/sites/******/users/******/web/
新/home/users/******/*****/web/
昨日(8/29 深夜1:50頃)は、「旧」ディレクトリ構造だったのですが、本日(8/29 午前11:30頃以降)には、ディレクトリの構造が「新」の方に変わっています。
つまり
・パスを通したCGIは作動しません。
・phpやSSIでインクルードしたファイルを読み込む事は出来ません。
・MovableTypeの管理画面へのログインは出来なくなっています。
この件に関しては、まだロリポップ側からアナウンスがありません。
このままディレクトリパスが変わるなら、早急にCGIやPHPの差し替えが必要になります。
1～2日で元のディレクトリ構造に戻るのなら、今は静観し、何もする必要は無いでしょう。しかし元のディレクトリ構造に戻るのに1週間以上かかるのならば、必要最低限の所までサイト内のパスを書き換えておく必要があります。
ロリポップさん、ユーザーディレクトリのパスを変更している旨と、この処置が一時的なものなのか、恒久的なものなのかを告知してくれ。
身動きが取れん(血涙)
ユーザーディレクトリのパスを変更している旨を公表するのは不味いんじゃない？という意見もあるかもしれないけど、php_includeを利用したページではエラーメッセージからディレクトリ構造が丸見えになっているので一緒です。
HTTPやFTPでアクセスする分には、ディレクトリ構造の変更は関係ないので一緒です。
2013/08/29 16時の進捗状況で、この件も何かアナウンスされると期待していたけれど、何も無かった。。。
告知が無かったので、もう待っていられない。
少ない労力でパスを変更できる人は、パスを書き換えればOKですよ。
追記：22時42分の告知にて、ディレクトリパスを変更している旨の告知が上がりました。現在エラーが発生しているサイトも順次対応をしてくれる模様です。
しかし後回しにされそうな気配が満々なので、（あくまでも個人的な意見ですが）自分で対応出来る人は自分で先に対応した方が良いかと思います。(「プログラムが正常に動作していないお客様のアカウントについては順次対応」という表現なので、先に正常に作動させておけば、元に戻されて再びエラーが出る、なんて事はない（はず）)
さらに追記：08/30 07:05 の告知で、従来のフルパスのままでも、各種CMSやCGIが正常に作動する旨がアップされました。このページ内の情報を元にあくせくする必要は無いかも知れません(思ったより早く対処してくれましたね(^_^;)
念のため(というかコレを機会に)各種CMSやCGIを新しいフルパスに変更しておきましょう。
対処方法（MovableType）
新しいユーザーディレクトリは、ロリポップのユーザーページにログインすれば分かります。(Webページ上にエラーが出ている場合はそこから分かります。)
MovableTypeの場合は、
mt-config.cgi 内のパスを書き換えてやれば正常に作動するようになります。
設定＞公開＞公開パス で新しいディレクトリ構造を指定すれば、再構築も出来るようになります。
includeパスもCMS内から書き換えて再構築すればスグに元に戻るはずです。
※追記注意：データベースにMySQLを使っている場合は、ロリポップの公式見解を待った方が良いかも知れません。
対処方法（CGI）
CGIプログラムの一行目のパスの指定もチェックする。
#!/usr/bin/perl ･･････ロリポのフルパス変更後は動かない場合がある
#!/usr/bin/perl -w ････こっちだと正常に作動する
この辺、あんまり詳しくないので良く解らない。
オプションパラメータ「--」でも動くかもしれない。これはセキュリティ的な対策とは違うよなあ･･･？サーバーが再起動すれば直るのかな？
とりあえずロリポの告知が出る前にもう新しいディレクトリ構造を設定してロリポのMovableType再構築したったわ。ロリポさん、元に戻すにしろ、このままの階層するにしろ、次は何か告知してくれよ。。。