WordPressの脆弱性について｜安全性や対策方法などを解説

WordPressは非常に便利なCMSではありますが、WordPressについて調べると「脆弱性」というキーワードとセットになっていることが多く、セキュリティ面で心配される方もいるでしょう。

そこでこの記事ではWordPressの脆弱性に関して、実際にWordPressを使用する上での安全性やセキュリティ対策などについてご紹介します。

WordPressに脆弱性はあるのか？

先に結論から言いますと、WordPressに脆弱性はあると言えばありますが、無いと言えば無いです。

これを聞いた方は恐らく「どういうことだ？」と混乱されるかと思いますので、順を追って解説していきたいと思います。

そもそも脆弱性とは？

そもそも「脆弱性」という言葉の意味について、はっきりと把握できていないという方もいるでしょうから、先にこの脆弱性についてご紹介します。

この脆弱性はプログラムやツール等の構造に不具合や不完全な部分があることにより、セキュリティ上の欠陥が存在してしまっている状態のことを指します。

つまりWordPressの脆弱性というのは、使用しているWordPressのテーマやプラグインも含めて外部からの攻撃の影響を受けてしまう状態にあるということになります。

脆弱性がある場合もある

WordPressはオープンソールのCMSであるため、開発者自身はもちろんのこと他の利用者や開発者も常にチェックしているツールです。

そのためWordPressやテーマ・プラグインに不具合や欠陥があった場合は、その都度アップデートを行い常にセキュリティを最新のものにしています。

この状態ではWordPressに脆弱性がない状態と言えますが、実際のところは誰も気付いていないだけで脆弱性が存在している場合もあります。加えて、その後に新機能を追加した新バージョンがリリースされたは良いが、その新バージョンに今までになかった脆弱性が潜んでいるケースもあります。

これがWordPressに脆弱性があると言えるし無いと言える理由で、頻繁に動きのあるWordPressではその状況もめまぐるしく変化するため、基本的には安全だが絶対ではないのです。

脆弱性の原因はケースバイケース

そんなWordPressに潜む脆弱性ですが、その脆弱性の原因は実はWordPress開発者のミスや見落としだけではなく、以下のような他の原因によって引き起こされる場合もあります。

前述でもご紹介の通り、WordPress本体だけではなくテーマやプラグインも定期的に機能追加や脆弱性の対応を行うためにバージョンアップを行います。しかし、開発者側が新バージョンをリリースしても、肝心のサイト管理者がその新バージョンへの更新を行わなければWordPressの脆弱性はそのまま放置されてしまいます。

また、WordPress本体に問題がなくても自分で探してきたテーマやプラグインに脆弱性があり、そこから攻撃されてしまうケースや、そもそも開発者が完全に活動を止めてしまい新バージョンもリリースされずに放置されるというケースも存在します。

こういった脆弱性は可能性があるというだけの話だけではありません。実際に2021年の4月にはプラグイン「Redirection for Contact Form 7」で何度か脆弱性が公表され、同じく2021年4月に今度はWordPress本体における情報漏洩に関する脆弱性も発覚しています。

WordPressの脆弱性を突いた攻撃例

これらWordPressの脆弱性によって被害が発生してしまった事例はいくつもあります。

WordPress及びプラグインの脆弱性は2021年には989件報告されており、同一原因で表面化したものも含め多数のプラグインに脆弱性の存在が明らかになっています。2022年の1年間でも47件公表されており、決して少ないとは言えない状況です。

とはいえ、まだまだ実感が湧かないかと思いますので、実際に脆弱性への攻撃を受けたことで被害が発生してしまった実例をいくつかご紹介します。

機能REST APIの事例

WordPressにはREST APIという機能が搭載されていますが、2017年時点ではこの機能に脆弱性がありました。

そして、その脆弱性を狙ったゼロデイ攻撃が実行され、全世界で155万を超えるサイトが改ざんされるという大惨事を招く結果となりました。

プラグインWP GDPR Complianceの事例

2019年にはプラグイン「WP GDPR Compliance」の脆弱性を突かれたゼロデイ攻撃がありました。

このプラグインには2つの脆弱性があり、その2つを組み合わせることでサイト管理者以外でも管理権限のあるユーザーを作成できる状況にありました。

つまり、この脆弱性を悪意のある第三者に利用されてしまうと、簡単にサイト改ざんやマルウェアの埋め込みをされてしまい、自分だけではくWordPressサイト訪問者にも被害が出てしまう状態にありました。

テーマOneToneの事例

2022年にはプラグイン「OneTone」の脆弱性を突かれたSQLインジェクションによるデータベースへの攻撃がありました。

これにより、リダイレクトで他のサイトへ飛ばすコードを埋め込まれるという被害を受けたサイトが大量に発生しました。

更に厄介なことにこのプラグインは開発者がアップデートを行わず、脆弱性に対抗する手段がなくなってしまったため、もともとOneToneを使用していたWordPressサイトの管理者は他のプラグインへの変更をせざるを得ない状況になってしまいました。

プラグインFancyboxの事例

2015年にはプラグイン「Fancybox」の脆弱性を突いたクロスサイトスクリプティング(XSS)による攻撃があり、サイト訪問者を悪意のあるサイトへ誘導する手口が横行していました。

しかもこのプラグインは当時は人気が高く、多くのWordPressサイト管理者が利用していたことから、これに比例して被害対象となるサイトもかなりの数にのぼりました。

脆弱性の有無を確認する方法

WordPressの脆弱性は過度に心配する必要はありませんが、前述でご紹介のような被害も実際に発生していることから、決して無視できる問題ではありません。

なので、実際に自分が管理しているWordPressサイトに現時点で脆弱性あったらどうしようと不安に感じられる方もいるでしょうが、実はその点はそこまで深刻な問題ではありません。

というのも、WordPressの脆弱性に関しては脆弱性診断というサービスが存在しますので、これを利用することで簡単に脆弱性の確認が可能となります。

一つネックがあるとすれば、この診断サービスはWordPressに利用しているサーバーなどのオプションとして利用する場合は割と安価で診断することができるのですが、外部のサービスで脆弱性診断を行うとそこそこ割高となっています。

ご紹介の通り、WordPressのセキュリティや脆弱性については常に進化し続けるものですので、「1回行えばあとは大丈夫」というものではなく定期的に行う必要がありますので、可能な限りサーバー等の割安なオプションを利用することがコスト的にも望ましいです。

簡単にできるWordPressの脆弱性対策

WordPressの脆弱性に関して自分でできる対策はいくつかあります。

もちろん、それでも100%安全と断言することはできませんが、対策を行うのと行わないのとでは危険度に大きな差が生まれますので、改めて確認しましょう。

最新バージョンへのアップデート

WordPress本体だけではなく、テーマやプラグインはご紹介の通り機能追加だけではなくセキュリティの強化を行うためのアップデートを行っています。

そのためこれらを最新のバージョンに保つことは、WordPressの脆弱性によるリスクを無くす重要な作業となります。

よって、何かしら特別な理由でもない限りは、アップデートが来たらすぐさま最新バージョンへ更新することが必要です。

※自動アップデート機能をONにしておくことも有効です。

不要なテーマ・プラグインの削除

上記のバージョンアップにもつながる項目ですが、有効化していないテーマやプラグインであっても古いバージョンのまま放置していると、その脆弱性を利用される可能性があります。

なので、利用していなくても、WordPressにインストールされているテーマやプラグインは全て最新バージョンに更新する、もしくは今後も利用する予定がないのであれば、テーマ・プラグインの整理もかねて削除することが推奨されます。

その他セキュリティ全体としての対策

上記の他にも脆弱性だけではなく、セキュリティ全体を通して行える対策も複数あります。

パスワードの強化

当たり前のことではありますが、第三者から見て予測しやすいIDやパスワードを使用することは、セキュリティ上よろしくありません。特に今は悪意のある人間は手動でIDとパスワードを予測して不正アクセスを試すのではなく、ツールなどを用いて機械的に様々な組み合わせで試みます。

よってパスワード等の強化は必須の対策と言えます。

ログインページの変更

ちなみに、ログインページ変更はプラグインSiteGuard WP Pluginを導入することで簡単に変更が可能です。

上記の不正アクセスの予防として、ログインページの変更を行うという対策も有効です。特にWordPressの場合は、初期状態のままではログインページを簡単に特定することができますので、そのページ自体にたどり着けないように変更できます。

セキュリティ系のプラグインの導入

プラグインによるセキュリティ強化という観点で言えば、上記のログインページの変更の他にもスパムコメント対策としてAkismet、セキュリティ全般に強いSiteGuard WP Pluginといったセキュリティ強化プラグインを導入することも有効です。

特にSiteGuardプラグインで設定できる「ひらがなの画像認証」は、日本語キーボード以外では難しいため海外からの不正アクセスを大幅に削減できます。

＞SiteGuard WP Pluginでサイトを守る！設定と注意事項

セキュリティ系のプラグインの詳細は以下のページにてご紹介しておりますので、WordPressの脆弱性だけではなくセキュリティ全般も気になる方はご覧ください。

パソコンを最新バージョンに

そもそも論になりますが、使用しているパソコンのOSが古いままの場合は、そこからログイン情報が漏洩してしまったり遠隔操作によりサイト改ざんを行われてしまうリスクも発生してしまいます。

幅広く認知されている例で言えばIE(Internet Explorer)です。IEは既にサポートが終了していますので、当然更新も止まっている状態ですので、脆弱性があったとしても何の対策もされず攻撃され放題という状況になりますので、注意が必要です。

まとめ

ここまでWordPressの脆弱性に関する情報や、その対策方法についてご紹介してきましたが、ここで勘違いしてはいけないのはWordPressはしっかりと管理すれば安全性は保てるという点です。

どうしても「脆弱性」という言葉から、WordPressは危険なCMSではないのかというイメージを持たれる方もいるかと思います。

もちろん脆弱性のリスクはこれから先も付いて回る存在となります。しかし、ご紹介の通り脆弱性やセキュリティ周りの対策をしっかりと行い、それを継続できればWordPressサイトでも基本的には問題なく運用することができます。

その為の安全対策ですので、WordPressでサイト運用を行う場合はしっかりと対策を行いながら運用するようにしましょう！