セキュリティ対策は、Webサイトを運営する上で避けて通れない課題です。WordPressは世界中にユーザー数が多いがゆえにサイバー攻撃の標的になりやすい側面もあり、脆弱性への最低限の対策は必須となります。
WordPressには、様々なセキュリティ対策が施せるようになっており、基本的には安全に利用できます。セキュリティ対策が簡単にできるプラグインも多数存在します。
一方で、日常のセキュリティ対策が万全だったとしても、WordPress本体やテーマ・プラグインの特定のバージョンで脆弱性が見つかることもあります。その場合、速やかに最新版へのアップデートやダウングレードを検討しなければなりません。
ところが、最新の脆弱性情報をどこで入手すればいいのか、サイトの安全をどのように確認すればいいのかを知らない人も多いです。この記事では、WordPressの脆弱性情報を入手する方法をはじめ、確認する方法、見つかった場合の対処法を詳しく解説します。
目次
WordPressの脆弱性とは
WordPressの脆弱性とは、ソフトウェアの設計上や実装上の欠陥を指します。リスクが高い状態だと、悪意のある第三者によって不正な操作をされやすくなるほか、情報が漏洩する可能性が高まります。
これはWordPress本体だけでなく、利用しているテーマやプラグインも該当します。深刻度が高いまま放置すると、サイトの改ざんやデータの削除、スパムメールの送信元として悪用されるなどの被害に遭う危険性が増します。
サイバー攻撃者はWordPressサイトの脆弱性を常に探し、攻撃を試みています。そのため、サイトの安全を保つには脆弱性が発覚したら、迅速に適切な対策を講じる必要があります。
「WordPressはセキュリティに弱い」 と言われているのはご存知でしょうか。 個人やフリーランスの方よりも、企業。特に大企業のWeb担当者はWordPressの脆弱性を意識される傾向があります。規模が大きな企業ほど社内コンプライアンスの意識が確立されていることに加え、被害が出た時のダ...
WordPressの脆弱性の最新情報を入手する方法
WordPressの脆弱性の最新情報を入手する主な手段は4つあります。
- WordPress公式のセキュリティ情報
- Wordfence Blog
- テーマ・プラグインの更新情報
- JVN iPedia
それぞれ詳しく解説します。
WordPress公式のセキュリティ情報
WordPress本体の脆弱性に関する最新情報は、WordPress公式のセキュリティニュースで確認できます。
セキュリティニュースは、WordPress開発チームが発見した脆弱性や、修正パッチのリリース情報がタイムリーに公開されるのが特徴です。セキュリティアップデートの必要性を判断する上でも、重要な指針となるでしょう。
Wordfence Blog
Wordfenceは人気のWordPressセキュリティプラグインを提供している会社で、最新の脆弱性情報を頻繁に公開しています。多くの攻撃事例やゼロデイ情報などもあり、英語でも最も信頼できる情報源のひとつです。
テーマ・プラグインの更新情報
WordPressサイトのセキュリティは、使用しているテーマやプラグインの脆弱性にも左右されます。
テーマやプラグインの提供元（または開発者）は、製品に脆弱性が発見されると、アップデートを通じて修正版をリリースするのが一般的です。そのため、WordPressの管理画面に表示されるアップデート情報をこまめに確認する必要があります。
更新ページに新しいバージョンが追加された場合は、該当するものにチェックを入れて更新ボタンをクリックしてください。
更新情報の詳細は「バージョン〇〇の詳細を見る。」をクリックすると確認できます。
テーマやプラグインを更新する際は、脆弱性や修正内容を確認してからの更新をおすすめします。
2021/4/5 情報を更新いたしました。 プラグインの更新（アップデート）方法について解説します。 アップデートに伴う機能追加や仕様変更等が原因でテーマの機能に干渉する可能性があるため、念の為、下記を参考にバックアップを取るようにしましょう。 プラグインを更新する方法 最新バー...
JVN iPedia
JVN iPediaは、日本で公開されているソフトウェアの脆弱性情報を網羅的に集約し、公開しているデータベースです。
国内外のWordPressに関連する脆弱性情報が含まれているため、検索窓に「WordPress」と入力すると関連情報が入手できます。
情報には専門的な内容も多く含まれていますが、セキュリティ対策を深く理解し実行するには有益な情報源です。
WordPressサイトの脆弱性を確かめる方法
WordPressサイトの脆弱性を確かめる主な手段は3つです。
- WordPressのサイトヘルス
- レンタルサーバーからの通知
- 専門ツールやサービスの利用
それぞれ詳しく見ていきましょう。
WordPressのサイトヘルス
WordPressに導入されているサイトヘルスは、サイトのパフォーマンスとセキュリティに関する情報を簡易的に診断し、改善点を提示してくれる機能です。
管理画面の「ツール」から「サイトヘルス」にアクセスすると、WordPress本体やテーマ、プラグインのバージョン情報など、セキュリティに関わる項目がチェックされます。
問題が見つかると改善提案が表示されるので、タブをそれぞれクリックしてください。
詳細を確認したら、指示に従って対応しましょう。
ただし、中には専門知識が必要な提案も含まれます。高度な改善が必要な場合は、プロへ依頼するのも一つです。
レンタルサーバーからの通知
レンタルサーバー会社は、利用者のWordPressサイトに脆弱性が発見された、セキュリティ上の問題が発生した場合に、登録メールアドレスへ通知を行います。これはレンタルサーバー側で提供されているセキュリティ機能や、サーバー全体の監視体制によるものです。
たとえば、エックスサーバーを利用している場合、不正アクセスの可能性があると以下のような通知メールが送信されます。
利用中のレンタルサーバーから送信されるメールは、注意深く確認しましょう。
専門ツールやサービスの利用
脆弱性の診断を具体的に行いたい場合は、専用ツールを利用しましょう。Sucuri SiteCheckやWPSECを活用すれば、WordPressサイトのURLを入力するだけで細かな検知結果が得られます。
Sucuri SiteCheck
いずれも無料で利用できますが、さらに高度な診断が必要な場合は有料ツールを検討しましょう。たとえば、WP保守工房プラスは月額54,300円（初期費用22,100円）で、以下のサービスを受けられます。
- WordPress脆弱性診断
- 不正アクセス対策
- サーバー・ネットワークの脆弱性診断
- 24時間365日のサーバー監視
- エンジニアによる障害対応
- 画像加工やページ更新などのコンテンツ保守
有料サービスは、プロによる診断レポートや修正に向けた具体的なアドバイスが提供される可能性が高いです。サイトのセキュリティを深く掘り下げた分析を希望する方や、安心のWordPress運用を実現させたい方は検討をおすすめします。
WordPressに脆弱性が見つかった場合の処置
WordPressに脆弱性が見つかった場合の処置は、以下のとおりです。
- WordPress本体とテーマ・プラグインをアップデート
- 修正バージョンの配布がない場合はダウングレードや停止する
- セキュリティプラグインの導入
それぞれ詳しく解説します。
WordPress本体とテーマ・プラグインをアップデート
WordPress本体や使用しているテーマ、プラグインに脆弱性が見つかった場合は、提供元からリリースされる最新バージョンへ更新しましょう。アップデートは、WordPressの更新ページから実行できます。
修正バージョンの配布がない場合はダウングレードや停止する
テーマやプラグインに脆弱性が発見されたものの、修正バージョンが配布されていない or 修正作業中のケースは珍しくありません。その場合は、テーマやプラグインをダウングレードしたり、一時的に停止する（無効化）、あるいは削除する選択肢を検討してください。
更新が長らく停止したプラグインでは、修正バージョンが配布されないことも恐らくないため、問題のプラグインを削除して代替プラグインを導入した方が安全です。
セキュリティプラグインの導入
WordPressのセキュリティを強化するには、セキュリティプラグインの導入が効果的です。
セキュリティプラグインは、ファイアウォール機能やマルウェアスキャン、ログイン試行回数制限など、さまざまなセキュリティ機能を提供しています。脆弱性が発見されたとしても、これらの機能によってサイトが保護されるので安心です。
特に、Wordfence Securityはファイアウォールの導入やログインの強化、アクセスの監視や制限など、多角的なセキュリティ対策ができると多くのユーザーから評価されています。
セキュリティプラグインの導入は、さまざまなトラブルを未然に防いでくれる可能性があります。したがって、安全な運営を心がけるなら必須といえるでしょう。ただし、更新が長らく停止しているプラグインはインストールしないでください。
セキュリティが弱いと言われるWordPressサイトですが、少しの工夫で対策できます。 複雑なパスワードでログイン情報を保護したり、セキュリティプラグインを導入するなど。対策方法はさまざまです。 今回は、中でも人気のセキュリティプラグイン「Wordfence Security」を...
まとめ
WordPressサイトのセキュリティを高めるには、脆弱性情報のこまめな収集と対策が必要です。公式情報やデータベースなどを活用しつつ、サイトヘルス機能やレンタルサーバーからのメール通知も確認する習慣を身につけましょう。
脆弱性が発見された場合は、速やかにコンポーネントのアップデートを行い、必要に応じて停止や削除を実行してください。
また、セキュリティプラグインを導入し、安全性を高めることも大切です。常に脆弱性と向き合い、最適な対応を取りましょう。
WordPressはオープンソースかつ、無料で使えて拡張性（プラグイン・テーマ）も高いので、世界中で最も利用されているCMSの1つです。オープンソースであるがゆえ、脆弱性が早期発見されやすい性質もあります。 WordPressは世界中で使われているCMSのため、きちんとセキュリティ対策を行って...
コメント