WordPressは誰でも使用できるオープンソースとして、システムの世界市場で最もシェア率が高いものです。webサイトの制作・運営のプロの方から初心者まで、たくさんの方達が利用しています。テーマやプラグインなどの種類も豊富で、カスタマイズ性にも優れています。
世界中の誰もが手軽に利用できる反面、脆弱性(ぜいじゃくせい)も頻繁に指摘されているため、バージョンの古いWordPress、プラグイン、テーマを使用し続けるのはとても危険です。WordPressを安全に運営していくためには、セキュリティ対策が必須です。
この記事では、WordPressの脆弱性に潜む危険についてや、想定されるリスクと9つの対策などについて解説していきます。
Contents
なぜWordPressに脆弱性が発生してしまうのか？
WordPressは誰でも直感的に利用できるユーザーフレンドリーな操作性から、多くの人に利用されていますが、世界的な普及がゆえに多くのセキュリティリスクにも晒されています。
さまざまなスキルレベルのユーザーに使われているがゆえに、セキュリティの基本がおろそかにされがちです。
ここでは、WordPressに脆弱性が発生してしまう主な理由を解説します。
オープンソースソフトウェアの特性
WordPressはオープンソースソフトウェアとして、ソースコードが公開されているため、誰でも自由にアクセス・検証・改善することができます。
この透明性は、セキュリティの脆弱性を素早く発見し修正するのに効果的ですが、同時に悪意のある利用者が脆弱性を見つけ出し悪用する可能性があります。
さらに、時には重要なセキュリティ問題が見落とされることもあるでしょう。
ユーザーが提供されるパッチを迅速に適用しない場合、これがさらなるセキュリティの脅威へと繋がる可能性もあるため、継続的な注意と迅速な対応が求められます。
広範なプラグインとテーマ
WordPressの魅力の一つが、ユーザーが自由に選べる豊富なプラグインとテーマです。これらによって、ウェブサイトの機能性やデザインを容易にカスタマイズでき、独自のニーズに合わせたWebサイトを構築することが可能です。
しかし、これらのプラグインとテーマは、それぞれ個々の開発者によって作成されるため、品質やセキュリティの基準が一定しないことがあります。
更新が滞ることで古いコードが脆弱性を抱えることも多く、不正なアクセスやデータ漏洩の原因となることも少なくありません。
そのため、プラグインやテーマを選ぶ際には、定期的に更新され、信頼性の高いものを選ぶことが重要です。
また、使用しているプラグインとテーマを常に最新の状態に保つことで、セキュリティリスクを大幅に減少させることができるので、定期的なアップデートも欠かせません。
世界的にユーザー数が多い
WordPressは多言語に対応しており、世界中の多くの国で利用されています。これにより、多様なユーザーコミュニティが形成され、ユーザー同士が知識や技術を共有し合う環境が作られるという点がメリットです。
しかし、この普及の広さは同時に、セキュリティリスクの増大を意味します。多くのユーザーが関与することで、脆弱なWebサイトが攻撃者にとって魅力的なターゲットとなり、全世界の多くのサイトが危険にさらされることがあります。
そのため、管理者はプラットフォームの安全性を保つために、常に警戒を怠らず、セキュリティ対策の適用と情報の更新に努めることが必要です。
WordPressで起こる脆弱性の3つの発生源
そもそも脆弱性とは、コンピュータのOSやソフトウェアなどにおいてプログラムのエラー、バグが原因となったセキュリティ上の欠陥のことです。
WordPressで起こる脆弱性の発生源は3つあります。
- WordPressの本体
- WordPressのテーマ
- WordPressのプラグイン
WordPressの開発者は設計・実装の段階でエラーやバグが発生しないように細心の注意を払っているものですが、不具合が全く起きないプログラムを完成させるのは不可能です。そのため、改善点や不具合が見つかった際は定期的にバージョンアップを行い、ユーザーの利便性を高めセキュリティを強化しています。
もしWordPressに新たな脆弱性が発見されると、ハッカーや悪質な人間から無作為に攻撃の標的にされる恐れがあるので注意が必要です。
WordPressの脆弱性を狙った主な攻撃の種類
WordPressは普及率が高いため、さまざまな種類のサイバー攻撃のターゲットになります。
攻撃者はプラグインやテーマ、さらにはWordPressのコア自体に存在するセキュリティの穴を利用して、サイトを乗っ取ったり、機密情報を盗み出したりすることがあります。
主に、これから紹介するSQLインジェクション、クロスサイトスクリプティング（XSS）、ブルートフォース攻撃などが知られているでしょう。
これらの攻撃は、サイトの信頼性を損なうだけでなく、ユーザーの個人情報やビジネスに関連するデータの漏洩につながる可能性があるため、防御策を講じることが非常に重要です。
SQLインジェクション
SQLインジェクションは、攻撃者がデータベースに対するコマンドを不正に入力し、実行させる技術です。
WordPressサイトでは、フォーム入力などを通じて不正なSQLコマンドをデータベースに送り込むことが可能です。この攻撃により、データベースに保存されている機密情報が漏洩したり、データが改ざんされたりすることがあります。
WordPressでこの種の攻撃が成功する主な理由は、入力値の検証やサニタイズが不十分なためです。開発者やサイト管理者は、SQLインジェクションを防ぐためにデータベースへのアクセス権限の制限などのセキュリティ対策を実施する必要があります。
クロスサイトスクリプティング (XSS)
クロスサイトスクリプティング（XSS）は、攻撃者が悪意のあるスクリプトをWebページに注入し、他のユーザーのブラウザでそのスクリプトが実行されるようにする攻撃です。
WordPressサイトがXSS攻撃の対象となる場合の主な原因は、安全性の低いプラグイン、テーマが原因です。
攻撃者は、コメント欄やフォーム、さらにはURLのパラメーターを通じてスクリプトを挿入することができ、訪問者のセッションをハイジャックしたり、個人情報を不正に取得したりすることがあります。
WordPressでXSS攻撃を防ぐには、すべてのユーザー入力を適切にエスケープしてHTMLとして安全に表示する処理が必要です。
また、セキュリティを意識したプログラミング、定期的なプラグインとテーマのアップデート、信頼できるソースからのコンテンツのみを使用することも重要です。
ブルートフォース攻撃
ブルートフォース攻撃は、攻撃者が総当たりでパスワードを検証することによりアカウントへの不正アクセスを試みる手法です。
WordPressサイトがこの種の攻撃のターゲットになることが少なくありません。
攻撃者は自動化されたツールを使用して、何千、何万というユーザー名とパスワードの組み合わせを短時間で試します。一度ログインに成功すると、サイトの管理権限を握り、悪意のある活動を行うことが可能になります。
WordPressサイトをブルートフォース攻撃から守るためには、まず、強力なパスワードの使用が基本です。また、ログイン試行回数を制限するプラグインを導入することで、短時間に多数のログイン試行があった場合にアカウントを一時的にロックすることができます。
さらに、二要素認証を設定することで、パスワードだけではなく、別の認証手段が必要となり、セキュリティを大幅に向上させることができます。
セキュリティ設定の誤り
攻撃者からの攻撃ではないのですが、セキュリティ設定の誤りは、WordPressサイトの脆弱性を引き起こす原因となり得ます。
サイト管理者がセキュリティに関する適切な知識を持たずに設定を行うことで、意図せず弱点を作り出してしまいます。
例えば、デフォルトの設定をそのまま使用する、簡単に推測可能な管理者パスワードの使用、不必要なサービスの稼働、アップデートの無視などが挙げられるでしょう。これらの誤った設定は、攻撃者にとっての侵入口となり得ます。
適切なセキュリティ設定には、最新のセキュリティアップデートとパッチの適用、強力なパスワードの導入、不要なプラグインやテーマの削除、管理者アクセスの厳格な制限などが含まれます。
さらに、セキュリティ監視ツールを使用して不審な活動を常に監視し、異常が見られた場合には速やかに対応することも重要です。
WordPressの脆弱性を放置することで想定されるリスク
脆弱性をそのままにしておくことで想定されるリスクを解説していきます。
- 個人情報の漏洩
- コンピューターウイルス感染
- ホームページの改ざん
- 管理画面に不正アクセスされる
- サイトや運営者の信頼が落ちる
- 金銭的な被害につながることも
個人情報の漏洩
WordPressの脆弱性を狙った攻撃で最も注意しなければいけないのが、個人情報や機密情報の漏洩です。個人でWebサイト運営を行っているのであれば、被害規模は大きくはならないかもしれません。しかし企業が運営する場合は、会員情報やクレジットカード、銀行口座などの情報などが流出してしまう危険性があります。
コンピューターウイルス感染
第三者の手により悪意のあるJavaScript注入（攻撃的なプログラミングコードが挿入されてしまうこと）や、トロイの木馬などのコンピューターウイルス感染（マルウェア感染）をする恐れがあります。スマホやパソコンなどのデバイスに悪影響を及ぼすソフトウェアやプログラムが入ると、遠隔操作されたり、WordPressの乗っ取り、データの悪用や破損などに繋がります。
ホームページの改ざん
悪意のある者がWordPressの脆弱性を狙って、ホームページの改ざんを行うリスクがあります。WordPressの管理画面に不正アクセスをして、無断で情報を書き換えられたり消去されるなどです。訪れたユーザーを別のWebサイトへ誘導したり、不正コードを埋め込むなど改ざんの手口は色々とあります。
たまに明らかに本来のホームページとは違う内容のページが表示されているサイトがありますが、それはそのサイトが乗っ取られて内容が書き替えられた状態で放置されているものです。
管理画面に不正アクセスされる
管理画面に不正アクセスされると、WordPressの管理・設定・運営などを勝手に行われる恐れがあります。パスワードを上書きされてしまったら、管理画面にログイン不可になり、今後WordPressを操作していくことができなくなってしまいます。
サイトや運営者の信頼が落ちる
運営中のWordPressで改ざんや情報漏洩が起きてしまうと、訪れたユーザーや関わってきた人達からの信頼を大きく損なう恐れがあります。一度、サイトや運営者の信頼が落ちてしまうと、取り戻すには長い時間と労力が必要です。
特に個人情報漏洩はプライバシー権の侵害にあたり、第三者提供違反などに該当した場合は「6か月以下の懲役または30万円以下の罰金」が課せられる犯罪です。意図した個人情報漏洩でなくても発生するため、個人情報をCRMなどと連携して管理している企業は特に大きな被害に拡大しかねません。
金銭的な被害につながることも
運営しているWordPressが原因で、ユーザーや周囲の人達に金銭的な被害を及ぼす恐れがあります。悪意のある者が会員情報やクレジットカード情報などの重要なデータを盗み、勝手に不正利用して商品やサービスを購入してしまうと、ある日突然、身に覚えのない費用の請求が来るかもしれません。
WordPressの脆弱性を回避する9つのセキュリティ対策
WordPressの脆弱性に少しでも早く気づき、被害を回避するための9つのセキュリティ対策を解説していきます。
- バックアップを定期的にする
- WordPressを最新版に更新
- プラグインやテーマを最新版に更新
- パスワードを複雑にする
- SSL化する
- 画像認証や二段階認証を使う
- 不要なプラグインは削除する
- サーバーのセキュリティを上げる
- アドバイザーや相談窓口の確保
1.バックアップを定期的にする
WordPressのバックアップを定期的にすると、仮に不具合が起きたり脆弱性を狙われて攻撃されても、直前に実施していたバックアップ時点の状態に復元可能です。バックアップは契約するレンタルサーバーで実施していたりプラグインを使用して行えます。
2.WordPressを最新版に更新
WordPressの脆弱性を狙われて攻撃されないためには、常に本体を最新版に更新することが大切です。バージョンアップの主な目的は、機能追加や不具合の修正などで実施されていますが、脆弱性への対応などセキュリティの強化も含まれています。
3.プラグインやテーマを最新版に更新
WordPressと同様に、プラグインも脆弱性の高いものが多く見受けられます。テーマはプラグインとセットになっている場合があるので、テーマも一緒に常に最新版に更新した方が良いでしょう。そもそも全く更新がされていないプラグインやテーマも存在するので、インストールする時は頻繁に更新しているものを選ぶことが大切です。
4.パスワードを複雑にする
悪意のある第三者からWordPressの管理画面にログインさせるのを防ぐには、パスワードを複雑にする必要があります。小文字、英数字、大文字、記号などを混合させて、簡単に思い浮かぶパスワードにしない、文字列を長くするなどの対策をしましょう。
また、外回り中にカフェなどで作業をするサラリーマン、電車など公共交通機関の乗車中にスマホでデータを閲覧している方が多く見られますが、不特定多数のいる空間ではどんなときに操作画面が見られパスワードが流出しているかわかりません。このように技術的な手段に頼らず誰にでもできてしまう覗き行為を、肩越しに覗くことから「ショルダーハック」といいます。
パスワードを使用する場面は特に周りに注意して、ログイン情報が流出しないようにしましょう。
5.SSL化する
サイトの通信をSSL化（https化）で暗号化することで、通信データを第三者から盗まれたり覗き見られたり、悪用防止に繋がります。SSL化とはインターネット上でデータを暗号化して送受信する仕組みの一つで、個人情報を扱う通販サイトでは必須とされてきましたが、最近ではほぼすべてのサイトでSSL化がされており、Googleでも2014年「検索順位を決める要素として、SSL化されているかどうかを評価基準とする」と公表されています。
Google はランキング シグナルとして HTTPS を使用することにしました。（中略）誰もがウェブを安全に利用できるよう、すべてのウェブサイトの所有者に HTTP から HTTPS への切り替えをおすすめしたいと考えているため、今後このウェイトは大きくする予定です。
引用：ランキング シグナルとしての HTTPS｜Google検索セントラル
サイトのURLの始まりが「https」で始まっているサイトはSSL化されており、安全にサイトを閲覧・情報の入力が行えますが、SSL化していないwebサイトはアドレスが「http」となっており、ブラウザ上に「このサイトは安全ではありません」・「保護されていない通信」などの警告が表示されます。
このようなSSL化されていないサイトの中には、そもそも表示できなくなっているサイトもあるため、SSL化の実装は必須項目です。
6.画像認証や二段階認証を使う
WordPressの管理画面に不正ログインを防ぐために、パスワードを複雑にすると共に画像認証や二段階認証を行いさらにセキュリティを強化する方法があります。
画像認証では画像に表示された文字や画像の内容をログイン情報に使います。二段階認証は認証コードやワンタイムパスワードなどを使用して、WordPressの運営者しかログインできない仕組みにするものです。
7.不要なプラグインは削除する
WordPressにインストールしたプラグインで使用していない、無効化状態になっているものなど不要なプラグインは削除しましょう。プラグインを増やせば増やすほど、脆弱性を狙った被害を受けやすくなりセキュリティ上の危険性が高まります。
8.サーバーのセキュリティを上げる
契約しているレンタルサーバー上でセキュリティの強化が可能です。レンタルサーバーによって無料で利用できたり有料オプションだったりなど違いがあります。利用しているレンタルサーバーに、どのような機能があるのか確認してみましょう。
9.アドバイザーや相談窓口の確保
WordPressの運営が長くなるにつれて、脆弱性を狙った被害に遭ったり不具合が発生したりするリスクが高くなります。常にセキュリティ上の欠陥を気にして運営していくのは大変ですし、自力でのセキュリティ対策には限界があるかもしれません。
セキュリティ対策に関してプロのアドバイザーに相談できるようにする、自治体にサイバーセキュリティ課の相談窓口が設置されていれば利用しても良いでしょう。
脆弱性の有無を確認する方法
ここまでで解説してきたように、WordPressサイトの脆弱性を効果的に確認し、対処する方法はサイトの安全性を保つ上で非常に重要です。
定期的なセキュリティチェックは、潜在的なリスクを早期に発見し、不正アクセスやデータ漏洩を防ぐための基本的なステップです。脆弱性の確認には、自動化されたセキュリティスキャン、専門のセキュリティプラグインの使用、ログファイルの監視などが含まれます。これにより、サイトに存在する脆弱性を体系的に評価し、必要なセキュリティ対策を迅速に実施することができます。
サイトヘルス機能
WordPressには「サイトヘルス」機能が備わっており、これを利用することでサイトのセキュリティとパフォーマンスの状態を簡単にチェックすることができます。この機能はダッシュボードからアクセス可能で、ウェブサイトの重要な健康状態を評価し、問題がある場合には具体的な改善提案を提供します。
サイトヘルスは、PHPのバージョンの古さ、必要なセキュリティアップデートの有無、推奨されるPHP拡張機能が足りているかどうかなど、さまざまな技術的な詳細をチェックします。これにより、サイト管理者は自分のサイトが現在直面しているセキュリティリスクを理解し、適切な対策を講じることが容易になります。
脆弱性診断サービス
脆弱性診断サービスでは、専用のツールまたは専門のセキュリティチームがサイトの詳細なチェックを行い、潜在的な脆弱性を特定し、修正方法を提案します。
専門の診断サービスでは、サイトのコードレビューから始まり、サーバー設定、データベースのセキュリティまで、多角的にリスクを検証します。このプロセスを通じて、具体的な脆弱性が判明し、実装すべき改善策を取り、迅速かつ効果的にセキュリティを向上させることが可能です。
しかし、脆弱性診断サービスを使用した際に、潜在的な脆弱性が特定されなかった場合でも、安心できるというわけではありません。
Webサイトは、常にセキュリティリスクと隣り合わせなので、油断は禁物です。先に紹介した脆弱性を回避する方法などは、常に実施するようにしましょう。
WordPressを利用したくない場合はどうすれば良い？
WordPressは広く使われているコンテンツ管理システム（CMS）ですが、すべてのユーザーのニーズに合致するわけではありません。
特定の機能要件、利用環境、セキュリティの懸念など、さまざまな理由で他の選択肢を取ることが望ましい場合もあるでしょう。
ここでは、WordPressを利用したくない場合に取りうる代替案をいくつか紹介していきます。
代替のコンテンツ管理システム（CMS）を利用する
WordPress以外にも多くのコンテンツ管理システム（CMS）が存在し、それぞれ特有の機能を提供しています。
例えば、JoomlaやDrupalは高度なカスタマイズ性と強力なコミュニティサポートが強みで、複雑なサイト構造や多言語対応が求められる場合に適しています。
また、SquarespaceやWixのようなサービスは、デザインの自由度が高く、直感的なドラッグ＆ドロップインターフェースを提供しており、専門知識が乏しいユーザーでもWebサイトを簡単に作成できるでしょう。
これらの代替CMSは、WordPressが提供するものとは異なる特性があるため、ニーズに応じて選択することが重要です。
静的サイトジェネレータを利用する
静的サイトジェネレータは、WordPressのような動的CMSとは異なり、あらかじめ生成された静的HTMLページを使用してウェブサイトを構築するツールです。
サーバーの負荷が軽減され、ページの読み込み速度が向上し、セキュリティが強化されるため、多くの開発者やウェブサイト管理者に支持されています。
静的サイトジェネレータの中でも、Jekyll、Hugo、Gatsbyなどが特に人気があります。これらのツールは、MarkdownやHTMLファイルから直接ウェブサイトを生成するため、複雑なデータベースやサーバーサイドのスクリプティングを必要としません。
静的サイトジェネレータを使用する主な利点は、セキュリティとパフォーマンス面です。動的なコンテンツ生成プロセスがないため、SQLインジェクションのような攻撃から自然と保護されます。
また、生成された静的ファイルはCDN（コンテンツ配信ネットワーク）を通じて簡単に配信できるため、グローバルアクセスにおいても高速なレスポンスが可能です。
これらの特性により、静的サイトジェネレータは情報を迅速に提供する必要があるブログ、企業のランディングページなどに適しています。
また、静的サイトジェネレータを使用することで、サイトのメンテナンスとアップデートが容易になり、長期的なウェブサイト管理の労力を減らすことができます。
カスタムウェブサイトの開発
カスタムウェブサイトの開発は、特定のニーズや要件に完全に合わせたウェブサイトを作成する方法です。
このやり方では、テンプレートや既存のCMSを使用せず、一からウェブサイトを構築します。そのため、デザインの柔軟性が大幅に向上します。
カスタムウェブサイト開発は、パーソナライズされたユーザーエクスペリエンスを提供できるため、ビジネスのブランドアイデンティティを強化するために特に有効です。
開発に際しては、専門のウェブデザイナーやデベロッパーが企画段階から関与し、クライアントの要望に応じてユーザーインターフェース、ユーザーエクスペリエンス、Webアプリケーションアーキテクチャなどを設計します。
カスタム開発の大きな利点は、特定の目的に合わせた機能の統合が可能であることです。また、セキュリティ面でも、特定のセキュリティ要件に基づいた対策を講じることができます。
デメリットとして、カスタムウェブサイト開発はコストや時間がかかる可能性がありますが、ブランドのビジョンをWebサイトに完璧に反映したい企業にとっては、その投資価値は非常に高いと言えるでしょう。
クラウドベースのプラットフォームを活用する
クラウドベースのプラットフォームは、サーバーの設定やメンテナンスを自動化し、迅速にWebサイトを立ち上げることが可能です。
例えば、ShopifyやBigCommerceのようなEコマースプラットフォームや、SalesforceやGoogle Cloud Platformのような、より汎用的なクラウドサービスがあります。
これらのサービスは、スケーラビリティと信頼性の高さが特徴で、需要の変動に応じてリソースを柔軟に調整することができます。
クラウドベースのプラットフォームを使用する主な利点は、高度なインフラストラクチャの管理を外部に委託できる点です。これにより、企業はITリソースをより効率的に利用し、コアビジネスに集中することが可能になります。
また、クラウドプラットフォームはセキュリティアップデートやシステムの最適化を定期的に実施するため、常に最新の技術を利用してビジネスを運営することができます。さらに、地理的な制約もなく、世界中のどこからでもアクセスし、管理することが可能です。
スタートアップから大企業まで幅広い規模のビジネスに適用可能で、特に迅速な市場導入が求められるプロジェクトに最適です。
クラウドベースのプラットフォームを活用することで、技術的な課題を最小限に抑えつつ、ビジネスの成長を加速させることができるでしょう。
まとめ
WordPressを含めあらゆるプログラムは最初から完璧なものは少なく何かしらの不具合があるものです。WordPressはセキュリティ上の欠陥を放置していると、悪意のある者から本体・テーマ・プラグインなどの脆弱性を狙われて攻撃されやすくなります。
本記事では、これから実施するべき対策を9つ紹介しました。
- バックアップを定期的にする
- WordPressを最新版に更新
- プラグインやテーマを最新版に更新
- パスワードを複雑にする
- SSL化する
- 画像認証や二段階認証を使う
- 不要なプラグインは削除する
- サーバーのセキュリティを上げる
- アドバイザーや相談窓口の確保
定期的なアップデートの実施や、様々なセキュリティ対策を行い脆弱性を狙われないようにすることが大切です。