WordPressは現在、世界中で最も利用されているCMS（コンテンツ管理システム）であり、ウェブサイト全体の43%以上がWordPressで構築されています。その理由は、無料で利用できるオープンソースのプラットフォームであること、柔軟性の高いデザインや機能が提供されていること、そして豊富なプラグインやテーマが簡単に利用できる点にあります。
しかし、その普及率の高さと利便性が裏目に出て、サイバー攻撃者からの格好の標的になっているというデメリットもあります。
攻撃者はWordPressの脆弱性を悪用し、サイトの改ざんやデータ漏洩、不正アクセスなどの被害を引き起こし、サイト運営者にとって深刻な損害が発生する可能性があります。
本記事では、WordPressの脆弱性に関する具体例を挙げながら、それらを防ぐための効果的なセキュリティ対策を詳しく解説していきます。
なぜWordPressは脆弱と言われるのか？
WordPressの脆弱性について、システム内に存在するセキュリティの弱点や欠陥を言います。
脆弱性は、補完してセキュリティを保つこともできますが、常に最新状態にアップデートし保守管理を継続していないと攻撃者がサイトに不正アクセスするための入り口となります。
WordPressの脆弱性を表す2つの内容
- プラグインやテーマの脆弱性: WordPressの最大の特徴である拡張性を支えるプラグインやテーマは、外部開発者によるものが多く、セキュリティホールが発見されやすいです。
※セキュリティホールとは：ソフトウェア（アプリケーション）や OS などのプログラムに生じた不具合や、設計上のミスによって発生する情報セキュリティの穴（欠陥） - WordPressコアの脆弱性: 本体のプログラムにも、バージョンアップやAPI機能の変更に伴い付け入る隙が生まれます。
- ブルートフォース攻撃: ログイン画面の認証を繰り返し試みることで、パスワードを割り出す手法です。
WordPressの脆弱性の狙われ易い箇所
WordPressに対する攻撃のうち、もっとも狙われやすいのがプラグインの脆弱性です。プラグインの脆弱性を突いた攻撃が、攻撃要因の約56％を占めるという調査結果もあります。
| 攻撃方法 | 割合 (%) |
|---|---|
| プラグイン (plugin) | 最大 60% |
| ブルートフォース (brute force) | 約 20% |
| コア (core) | 約 10% |
| テーマ (theme) | 約 5% |
| ホスティング (hosting) | 約 5% |
| ファイル権限 (file permissions) | 約 2% |
| 古いファイル (old files) | 約 2% |
| パスワード窃盗 (password theft) | 約 1% |
| 作業環境 (workstation) | 約 1% |
| フィッシング (phishing) | 約 1% |
| 内部犯行 (insider) | 約 1% |
| サーバー (server) | 約 1% |
| FTP | 約 1% |
プラグインがアップデートされた時はすぐに更新する、バージョンが更新されないプラグインは使用しないなどの対応が必要です。
WordPressの脆弱性を表している具体的な事例
WP GDPR Complianceの脆弱性
WP GDPR Complianceは、データ保護を目的としたプラグインとして多くのWordPressサイトで利用されています。しかし、2018年にこのプラグインに重大な脆弱性が発見されました。このままを利用継続すると、攻撃者が管理者権限を乗っ取り自由に操作できるまでとなっていました。
- 影響範囲: 約10万サイトが影響を受けたとされています。
- 攻撃内容: 攻撃者は、この脆弱性を利用してサイトのデータベースに不正なエントリーを追加し、任意のアクションを実行可能な管理者アカウントを作成しました。
- 修正対応: プラグイン開発者は脆弱性が発見されてから数日以内に修正パッチを公開し、影響を受けたユーザーに迅速なアップデートを求めました。
医療ISACのウェブサイト改ざん事件
2023年8月、一般社団法人医療ISACの公式ウェブサイトが不正アクセスを受ける事件が発生しました。この攻撃により、個人情報が流出し、ウェブサイトの改ざんが行われました。
- 流出した個人情報: オンラインセミナー申込者975名分の氏名、メールアドレス、所属情報が漏洩。
- 攻撃の手口: 以前の委託業者のアカウント情報を不正利用し、管理者権限を持つアカウントを新規作成。その後、不正なファイルをアップロードし、サイト改ざんを実行。
- 対応状況: 攻撃を受けたウェブサイトは一時的に閉鎖され、再発防止のためのセキュリティ強化が行われました。
WordPressの脆弱性が引き起こすリスク
主なリスクを具体的に重要度に解説していきます。
3.1 管理画面への不正アクセス
攻撃者は、管理者のログイン情報を盗むか、ブルートフォース攻撃を使用してログインを試みます。
一度管理画面にアクセスされると、管理者同様の権限を扱うことができる為セキュリティも何もなくなってしまいます。
- サイト全体の制御を奪取される: 攻撃者がコンテンツを改ざんしたり、悪意のあるコードを埋め込んだりする。
- 運営者情報の盗難: 管理者の個人情報が漏洩し、さらなる攻撃の足掛かりとなる。
※ブルートフォース攻撃とは: ログイン画面の認証を繰り返し試みることで、パスワードを割り出す手法です。
3.2 Webサイトの改ざん
- 信頼性の低下: 顧客や取引先からの信頼を失う。
- 法的リスク: 改ざんにより被害を受けた顧客から訴訟される可能性。
- マルウェアを配布の踏み台：コンピュータウイルス（例：トロイの木馬）などをばら撒く手段の1つ
3.3 データ漏洩
- クレジットカード情報や住所などの個人情報。
- 商業機密や機密データ。
WordPressの脆弱性を防ぐための具体的なセキュリティ対策
ここからは。、WordPressの脆弱性を防ぎ、安全なサイト運営を実現するための具体的な対策を紹介します。
定期的なアップデート
WordPress本体、プラグイン、テーマを最新の状態に保つことで、既知の脆弱性を修正します。
- 方法: WordPressの管理画面に表示される「更新通知」を確認し、適宜アップデートを行います。
- 注意点: アップデート前にサイト全体のバックアップを取ることで、不具合が発生した場合のリカバリーが容易になります。
不要なプラグインやテーマの削除
使用していないプラグインやテーマは、脆弱性のリスクを増大させるため、速やかに削除しましょう。
- 実践例: 特定のテーマを利用しない場合でも、WordPressインストール時のデフォルトテーマが残っている場合は削除してください。
強固なパスワードと二段階認証の導入
パスワードの複雑化と二段階認証の組み合わせで、不正アクセスのリスクを大幅に減らせます。
- 推奨設定: 12文字以上の英数字と記号を組み合わせたパスワードを設定します。
- 二段階認証ツール: Google AuthenticatorやAuthyなどを利用してログイン認証を強化。
SSL化の徹底
SSL/TLSを導入することで、サイト全体の通信を暗号化し、データ盗聴や改ざんを防ぎます。
- 手順: 使用しているサーバーの管理画面からSSL証明書を取得し、WordPressに適用します。
- 利点: ユーザーの信頼を得られるだけでなく、Googleの検索順位向上にもつながります。
ログイン画面のカスタマイズ
WordPressのデフォルトログインURL（/wp-admin）を変更することで、攻撃者がブルートフォース攻撃を行う可能性を減らします。
- プラグイン例: WPS Hide Loginを使用して、ログインURLを簡単に変更可能。
セキュリティプラグインの活用
以下のプラグインを利用することで、セキュリティ対策を簡単に実施できます：
- Wordfence: ファイアウォールとマルウェアスキャンを提供。
- iThemes Security: 脆弱性の自動スキャンと通知機能を搭載。
定期的なバックアップ
万が一のトラブルに備え、定期的にサイト全体のバックアップを取る習慣をつけましょう。
- 推奨ツール: UpdraftPlusやBackupBuddyなど。
WordPressの診断ツールやサービスの紹介
WordPressの状態を定期的に診断することで、潜在的な問題を早期に特定することが可能です。
- AeyeScan
日本企業向けに特化した脆弱性診断ツールで、管理画面やプラグインの安全性をチェックできます。 - Sucuri Security
無料で利用可能なセキュリティツールで、ウェブサイト全体の診断と保護を提供。 - WPScan
WordPress専用の診断ツールで、REST APIの設定ミスやプラグインの脆弱性を検出。
まとめと今後の対策
WordPressは利便性が高い一方で、脆弱性を放置すると重大なリスクを引き起こします。しかし、適切な対策を講じることで、そのリスクを最小限に抑えることが可能です。本記事で紹介した方法を活用し、定期的な診断と対策を実践することで、安全で信頼性の高いウェブサイト運営を目指してください。
