「WordPressは危ない」とよく言われますが、正確ではありません。危ないのは WordPress本体 ではなく、入れっぱなしのプラグインとテーマ です。
当社が毎朝自動で収集している脆弱性情報を見ると、WordPress関連の脆弱性のほとんどがプラグイン由来です。直近2週間だけで、WordPress本体が3件なのに対し、プラグインは約500件でした。
なぜプラグインが狙われるのか
- 数が多い：公式ディレクトリだけで6万本以上。個人が開発したものも多く、セキュリティの審査は限定的です。
- 更新が止まる：作者が開発をやめたプラグインは、脆弱性が見つかっても修正されません。
- 権限が強い：プラグインはWordPressの中で何でもできます。ひとつ穴があれば、サイト全体が乗っ取られます。
攻撃は自動化されています。脆弱性が公表されると、数時間以内に世界中のサイトを機械的にスキャンするボットが動き出します。「うちみたいな小さなお店は狙われない」は、残念ながら通用しません。狙われているのは「お店」ではなく「穴のあるWordPress」だからです。
今日できる3つの対策
1. 使っていないプラグインは「停止」ではなく「削除」
停止中のプラグインでも、ファイルがサーバーに残っていれば攻撃の入口になることがあります。管理画面の「プラグイン」一覧で、停止中のものはそのまま削除してください。
2. 「更新があります」の赤い数字をゼロにする
更新の多くはセキュリティ修正です。溜まっている数だけ、公表済みの攻撃方法が使える状態になっています。更新前にバックアップを取る習慣とセットで、月に1回は管理画面を開きましょう。
3. 1年以上更新されていないプラグインを疑う
プラグインの詳細画面に「最終更新」が表示されます。1年以上前なら、作者が開発をやめている可能性が高く、代替を探す時期です。
それでも不安な方へ
「どのプラグインが危ないのか分からない」「更新を押すのが怖い」という方は、当社の無料診断をご利用ください。サイトのURLをいただければ、外から確認できる範囲でWordPress・PHP・主要プラグインのバージョンをお調べします。
松戸・柏・市川・流山ほか、千葉県北西部のお店・会社の「近くのIT担当」として、応急対応から、プラグインに頼らない仕組みへの移行までお手伝いしています。
