・2025年9月の最新動向を踏まえ、古いプラグインと弱いログインを狙う攻撃に即効で備える方法をまとめます
・対象は制作会社の担当者、個人事業の運用者など、すべてのWordPress運用者です。
・読了後「今日やる更新」「二要素認証とパスキー導入」「週次の脆弱性監視」まで、一気に標準装備にできます。
■ 現状の課題
・攻撃は「プラグインの弱点」を高速に突きます。更新の遅れや入れ過ぎが主因です。
・2025年も具体例が続きました。例：Post SMTPの権限不備、Paid Member SubscriptionsのSQLインジェクション。いずれも早期更新で防げます。
・もう一つの穴はログインです。単純なパスワードは突破されます。使い回しや共通パスワードが狙われます。
■ 解決の方向性（止まらない運用）
・基盤は最新安定へ。まず6.8系を最新小数点版で固定し、12月予定の6.9は計画移行。
・更新は「怖い」から「自動＋復旧設計」へ。失敗しても直前に戻せる設計を先に作ります。
・ログインは二要素認証とパスキーで段階強化。パスキー＝端末の鍵を使う仕組みで、フィッシングに強い。
・監視は勘ではなく定点観測。毎週の棚卸しで「使っていない」「重複している」を削ります。
■ 具体的な方法（6ステップ）
更新の土台を整える
・WordPress本体を6.8の最新小数点版に。PHPとデータベースも推奨バージョンへ。
・プラグイン／テーマは最小構成へ。役割が重なるものは一本化。停止中は原則削除。
自動更新を安全に使う
・軽微更新とセキュリティ修正は自動更新を有効化。
・ステージング（＝本番と同じ検証環境）で先に自動更新を試し、問題なければ本番も自動化。
・「失敗時の自動ロールバック」「管理者メール通知」を必ず確認。
ログインを強化する
・管理者と編集権限に二要素認証を必須化。二要素認証＝パスワード＋端末コードの二段階。
・可能ならパスキーも導入。パスキー＝公開鍵方式で総当たりに強く、入力も速い。
・ログイン試行回数の制限、IPごとのレート制限。XML-RPCなど不要経路は閉じる。
脆弱性の定点監視
・毎週、使用中バージョンと公開情報を照合。更新停止や高リスクは即日対応へ。
・運用表に「目標バージョン」を明記。例：Post SMTPは3.3.0以上、Paid Member Subscriptionsは2.15.2以上、など。
事故前提の備え
・毎日差分＋週次フルのバックアップ。外部とローカルに三世代を保管。
・四半期に一度、復元演習。開始から復旧までの時間を測り、手順を改善。
・監査ログを保存し、異常は管理者へ即通知。
ネットワークとメールの基本
・管理画面はHTTPSのみ。古い暗号方式は停止。
・SPF／DKIM／DMARCを段階導入。DMARCはp=none（監視モード）で原因を潰し、p=quarantine→p=rejectへ順に移行。
■ 週次棚卸しチェックリスト
[1] 本体・テーマ・プラグインの更新有無を確認（本体6.8最新／停止中は削除）。
[2] 二要素認証の未設定ユーザーゼロを確認（管理者→編集→全ユーザーへ拡大）。
[3] 直近の脆弱性に該当なしを確認（目標バージョン欄を更新）。
[4] バックアップの成否と世代数を確認（差分7日／フル3週）。
[5] 復旧演習の予定と前回の復旧時間の記録を確認。
[6] ログイン試行のレート制限・通知の発火テストを実施。
[7] 使っていない・重複機能のプラグインがあれば削減。
■ 注意点とまとめ（運用のコツ）
・更新は「壊れるリスク」ではなく「壊れても戻れる設計」とセットにすれば最も安全です。
・強化は段階で十分。まず管理者、その後編集権限、最後に全ユーザーへ広げます。
・毎週の棚卸しはコスト最小で効果大。使わないプラグインを減らすだけで攻撃面は大きく縮みます。
■ FAQ
Q. 更新でサイトが壊れるのが心配です。どう進めれば安全ですか？
A. ステージングで自動更新を先行運用し、「自動ロールバック」と「通知」を有効化。本番は夜間などアクセスが少ない時間に行います。
Q. 二要素認証とパスキー、どちらを先に入れるべき？
A. まず二要素認証を必須化。並行してパスキーを導入すると、操作は簡単でフィッシングにも強くなります。
Q. 無料で脆弱性を見張れますか？
A. 可能です。公開情報を週1で確認し、自サイトのバージョン表と突き合わせます。重大なものは即時対応枠へ。
Q. どのプラグインから削ると効果的？
A. 更新停止のもの、役割が重複するものから着手。置き換え可能なら一本化し、保守対象を減らします。
Q. バックアップはどれくらい残せば安心？
A. 直近7日分の差分と、直近3週分のフルが目安。演習で実際に復元できるか必ず確認してください。
Q. DMARCのp=rejectは怖いです。どう段階移行しますか？
A. まずp=none（監視）で失敗原因を潰し、問題がなくなってからp=quarantine→p=rejectへ。段階移行なら欠落リスクを抑えられます。
■ 用語
・ステージング＝本番そっくりで検証する環境。失敗しても本番に影響しません。
・二要素認証＝パスワード＋端末コードの二段階でログインする方法。
・パスキー＝端末に保存された鍵でログインする方法。パスワード不要でなりすましに強い。
・ロールバック＝更新に失敗したら直前の状態へ自動で戻すこと。
・DMARC＝なりすましメールを防ぐための仕組み。p=noneは監視、p=rejectは拒否の設定。
■ ご案内
本記事の内容に沿った運用整備（更新設計の見直し、復旧手順の標準化、週次棚卸しの導入、ログイン強化の実装）にもご対応可能です。事実に基づき、再現性のある設計を重視し、特定のツールに依存しない内製化を大切にしています。万一の障害や緊急時にも、できる限り迅速に対応いたしますので、どうぞ安心してご相談ください。
