サービス
サービスを探す
プロ人材を探す
仕事を探す
ブログを探す
「WordPressに脆弱性」のニュースを見たら｜自分のサイトに関係あるかを見分ける3ステップ
記事IT・テクノロジー
「WordPressのプラグインに脆弱性が見つかりました」
こうしたニュースや、サーバー会社からの注意喚起のメールは、毎月のように届きます。
全部に慌てる必要はありません。
大切なのは、「自分のサイトに関係があるか」を早く見分けることです。
この記事では、その見分け方を3つのステップにまとめました。
■脆弱性のニュースは、どこの話かを見る
ニュースの「どこに弱点があるか」は、だいたい次の4つのどれかです。
・WordPress本体
・プラグイン（○○というプラグイン）
・テーマ
・サーバー側のプログラム（PHPなど）
どこの話かによって、確かめる場所が変わります。
■ステップ1：名前を確かめる
ニュースに出ている名前（プラグイン名・テーマ名など）を控えます。
次に、WordPressの管理画面の「プラグイン」「外観→テーマ」の一覧で、同じ名前のものがあるかを見ます。
よく似た名前の別のプラグインもあるので、作っている人や会社の名前まで見比べると間違えにくくなります。
一覧になければ、そのニュースは基本的にあなたのサイトには関係ありません。
■ステップ2：版を確かめる
一覧にあった場合は、使っている版（バージョン）を見ます。
ニュースには、多くの場合「○.○以前の版が対象」「○.○で修正済み」と書かれています。
・使っている版が、修正済みの版と同じか新しい → 対応済みです
・使っている版が、対象の版に含まれる → ステップ3へ
■ステップ3：更新する、または止める
修正済みの版が出ていれば、バックアップを取ってから更新します。
更新のあとで表示が崩れたときは、バックアップから戻すか、そのプラグインを停止して、原因を確かめます。
修正済みの版がまだ出ていない、または開発が終わっているプラグインの場合は、
プラグインを停止して、代わりになる方法を探します。
お問い合わせフォームなど、止めると困るものは、代わりを決めてから入れ替えます。
■サーバー側（PHPなど）の脆弱性の場合
PHPなどサーバー側の話は、レンタルサーバーなら、サーバー会社が対応することがほとんどです。
サーバー会社のお知らせで「対応済み」になっているか、自分の使っている版が含まれているかを確かめます。
■すでに攻撃されていないかも見る
対象のプラグインを古い版のまま使っていた期間が長い場合は、更新したうえで、次も確かめます。
・知らない管理者ユーザーが増えていない
・見覚えのないページや投稿がない
・サイトを開くと、別のサイトに飛ばされない
■自分で確かめるチェックリスト
・ニュースが、本体・プラグイン・テーマ・サーバーのどこの話かを見た
・同じ名前のものが、自分のサイトにあるかを見た
・使っている版が、対象に含まれるかを見た
・更新する前に、バックアップを取った
・修正版がない場合の、代わりの方法を考えた
・知らないユーザーや、見覚えのないページがないかを見た
■よくある質問
Q. 脆弱性のニュースは、どこで知ればいいですか？
A. 使っているサーバー会社のお知らせや、WordPressの管理画面の更新の通知が身近です。プラグインの公式ページの更新履歴にも、修正の内容が書かれていることがあります。
Q. 自動更新にしておけば、確かめなくてもいいですか？
A. 自動更新はよい備えですが、更新に失敗していることもあります。ニュースを見たときは、版が上がっているかを目で確かめましょう。
Q. 更新したら、サイトが崩れないか心配です。
A. 更新の前にバックアップを取っておけば、崩れても戻せます。大きなサイトなら、テスト環境で試してから本番に入れると安心です。
Q. 開発が終わったプラグインを使い続けてもいいですか？
A. 弱点が見つかっても直されないので、おすすめできません。代わりのプラグインや方法を探して、入れ替えを予定に入れましょう。
Q. 自分では判断がつきません。
A. 使っているプラグインの一覧（画面の写真でも大丈夫です）があれば、関係があるかどうかを一緒に確かめられます。
■対応を任せたい方へ
ご自分で見分けられる方は、この3ステップで十分です。
「関係があると分かったが、更新でサイトが崩れないか不安」という方には、バックアップから更新、改ざんの跡の確認までを代行しています。
PHP・WordPressの脆弱性対応を代行します
「関係があるかどうかだけ、先に知りたい」という方は、URLだけでできる診断もあります。
PHP・WordPressの脆弱性を診断します
このブログを見た人にオススメ
.png)
