セキュリティ：警告！あなたのWordPressホームページが危ない理由

こう書くとWordPressがイケナイ様にとられたかも知れないですが、

Thank you for reading this post, don't forget to subscribe!

そうでは、ないのです。

WordPressを使ったホームページに、

約束ごとともいえる以下のことに、サイトオーナーであるあなたが関わっていないことが、イケナイことです。

✅　大事で大切なことを守っていない

　　☑ 　制作時、制作中・完成時・本番移行後も一切チェックしていない

　　☑　専門家と言われるのホームページ制作会社に丸投げしている

　　☑　運用中の現在もバージョンアップや保守を行っていない

　WordPressのバージョンアップも大事です。
( WordPress でさえ作成時のままのものも多数あります)が、
WordPressのバージョンアップだけではダメなんです。

WordPress 脆弱性とバージョン推移

Update:2020/03/11

Written: 2019/06/03

　By　横浜の登録セキュリティプレゼンター

PR広告

WordPressホームページの是非
- WordPressでホームページを作ると決めたときに必要なこと
- 信頼できるホームページ制作会社に制作と保守を依頼すること
プラグイン(plugin)の管理・保守も忘れずに
- WordPressテーマCocoonはSEO内部対策機能を内包しています
- セキュリティプラグイン(SiteGuard WP Plugin)は更新情報を伝えてくれます
まとめ
- 制作を外部に依頼している場合、保守契約も必要です

WordPressホームページの是非

WordPressでホームページを作ると決めたときに必要なこと

　それは、自社で作るか、外部に依頼するかですが、ほとんどの場合、外部のホームページ制作会社に依頼するからです。（ではないでしょうか？）

　そして、外部にホームページ制作を依頼する場合、制作後のちゃんとした保守も行ってくれる（できる）制作会社を選ぶ必要があります。

　というのは、
WordPress は素晴らしいCMSの１つです。
しかし危険でもあるのです。
WordPress自体でホームページを作ることは
ちょっとした知識があれば、誰でも簡単に作ることができるから
何も考えなく進めたりもできます。

　ですから、セキュリティ意識の高い、セキュリティ対策を明確に示し・行ってくれる（実施できる）ホームページ制作者^(※)を選ぶ必要があるのです。
　そんなことを言われてもとお思いの場合は、
選んだ場合、まかせっきり（丸投げ）にしないことです。
あなたが実現したいと思ったことが出来ているかどうか？
セキュリティ対策に何をしているか？は確認しましょう。

※．ここで、ホームページ制作者と言った理由は、ホームページ制作会社がセキュリティ対策を実施できるとしても所属する全員がセキュリティ対策を実施できるとは限らないし、費用の関係でそこまで面倒を見てくれない可能性だってあるからです。

（事実、筆者がリサーチした43のWoroPressサイトの実態がそれを示しています。）

信頼できるホームページ制作会社に制作と保守を依頼すること

　筆者が思うに「激安ホームページ」とか「格安ホームページ制作」などのキャッチフレーズを掲げているホームページ制作会社には依頼すべきではないと断言します。

　それらは、見栄えは良いかも知れないが結果的に「安かろう・悪かろう」で、あなたのホームページが終わってしまう

何故そう言い切れるか、

多くのホームページがそうである様に、作りっぱなし・制作した当時のまま

特に、WordPressホームページに、一番多く見受けられるのが、

バージョンアップしていないこと

（日本でCMSを使って制作されたホームページの82％以上がWordPressだから、
ホームページの調査でWordPressのホームページの傾向を調べれば、おおよその動向がわかる）
※.下の図は、少し古いキャプチャです。画像クリックで最新の日本シェアをご覧いただけます）

WordPress本体はおろか、利用しているプラグインにおいては、ワードプレス本体がバージョンアップされていても、プラグインが古いまま（など）

WordPressあなたにオススメ厳選プラグイン14

ワードプレスのウェブサイトにセキュリティ対策と運用・運営支援のためのプラグインを厳選!必要なことは、セキュリティを保つこと、そしてサイトの軽量化です。WordPressのために開発されたプラグインは多種多様・玉石混交を極めるが、目的をもって必要最低限の採用（導入）をお薦めします。

PR広告

プラグイン(plugin)の管理・保守も忘れずに

　多くのプラグインはWordPress.org以外のサードパーティが制作したもので、
既に開発チームが解散してしまって、脆弱性対策などのバージョンアップがされないものも多くアップされたままです。

　新しくWordPressサイトを立ち上げる時は、インストールするプラグインの保守状況やインストールしたWordPressのバージョンと互換性があるのか、などを制作者側でチェックできるのでさほど問題はないでしょうが、

一度制作され、保守契約をしていないWordPressホームページは、サイトオーナー側でメンテナンスするしか無い訳で、これが問題となるのです。

（WordPressサイトを所有する多くのサイトオーナー側にはこれらの問題に適切に対処する人がいないから）

　WordPress本体を、自動バージョンアップ設定をしていたとしても、
大幅な改定（WordPressではこれをブランチ（系）と言っています）の場合、
自動バージョンアップされない(4.9➡5.0など)のです（保守できる人の介在が必要となるのです）

　このブランチの壁は、最も・最近のものでは、4.9から5.0への移行です。

　5.0ブランチで大幅な改定がなされた為、
自動バージョンアップ設定をしていても（保守作業をしないとできないのです）

4.9ブランチの最新バージョンは4.9.13（2019/12/13リリース）のセキュリティリリース（以前のバージョンに影響する 3件のセキュリティ問題修正^※）です。

※. 3件のセキュリティ問題

　1. 権限のないユーザに REST API 経由での先頭固定投稿を許してしまう問題

　2. 巧妙に手が加えられたリンクを用いたクロスサイトスクリプティング (XSS) 脆弱性の問題

　3. WordPress.org セキュリティチームによる wp_kses_bad_protocol() の強化。これにより名前付きコロン属性が適切に処理される。

5.0ブランチは2018/12/10リリースですが、4回のセキュリティリリースと4回のバグ修正などのメンテナンスリリースで、既に5.0.8に、2019/12/13以前のバージョンに対する4件のセキュリティ問題修正^※）です。

さらに、
5.1ブランチは、5.1.4（2019/12/13が最新）以前のバージョンに対する4件のセキュリティ問題修正^※）
5.2ブランチは、5.2.5（2019/12/13が最新）以前のバージョンに対する4件のセキュリティ問題修正^※）
5.3ブランチは、5.3.2（2020/01/02が最新）5件のバグ修正と改良のメンテナンスリリースです。

この様に、複数のブランチが並行して開発・保守されている特殊な形態をとっている為、実際のWordPressを利用したホームページなどでは、多くのブランチ・バージョンが今でも存在しています。

4.8ブランチ以前のもっと古いブランチも現役で運営されています
(これは、サイトオーナーが知らない大きな問題を含んでいるのです)
　➡ 「WordPress 脆弱性とバージョン推移」はここからご覧いただけます。

※. 4件のセキュリティ問題(5.0で追加されたブロックエディタに関する問題がある分１つ多い)

権限のないユーザーに REST API 経由での先頭固定投稿を許してしまう問題
巧妙に手が加えられたリンクを用いたクロスサイトスクリプティング (XSS) 脆弱性の問題
WordPress.org セキュリティチームによる wp_kses_bad_protocol() の強化。これにより名前付きコロン属性が適切に処理される
ブロックエディター本文を用いた格納型 XSS 脆弱性

WordPress.orgは、
「積極的に保守されている5.3系統の最新版以外の以下のバージョンは、安全に使用することはできません。」と公式ページで宣言しています。

現時点では、5.3ブランチの5.3.2が最新ですが、

既に、5.4ブランチの2020/03/31リリースが予定されています。

5.4がリリースされたら、WordPress.orgは、通例通り「積極的に保守されている5.4系統の最新版以外の以下のバージョンは、安全に使用することはできません。」と宣言するでしょう。

プラグインに関して言うと、

WordPressのSEOプラグイン
「All in One SEO Pack」に深刻な脆弱性がありました。（2016/07/12）

“All in One SEO Packは“WordPressで必須”ともいわれ、
インストール数が100万件を超す人気プラグイン。
公開された情報によると、「Bot Blocker」と呼ばれる機能にクロスサイトスクリプティング（XSS）の脆弱性が見つかった”

　“Bot Blocker機能は、特定のボットによるWebサイトへのアクセスを防止する機能で、User AgentやReferrerヘッダのパターンをもとにボットを検出する。
　同機能の設定で「Track Blocked Bots」を有効にしている場合（初期設定は無効）、HTMLページに記録されるブロック済みリクエストの検証が不適切な問題を突かれてXSS攻撃を仕掛けられ、管理者のセッショントークンを盗まれたり、攻撃者に任意の動作を実行されたりする恐れがあるという。”

“脆弱性はAll in One SEO Packの2.3.6.1までのバージョンで確認され、バージョン2.3.7で問題は修正”その後　➡ 「2.3.7以前のバージョンでも、別の新しい脆弱性が発見された」

でもこれだけでは無いんです。

All in One SEO Pack には、
別のクロスサイトスクリプティングの脆弱性が存在します（2019/01/09）

All in One SEO Pack 3.2.7 未満では、
「情報を取得される、および情報を改ざんされる可能性があります。」
実際に、➡「管理者の情報が盗まれたり、悪意ある攻撃者に任意の動作が実行された」

「XSSの脆弱性を利用して、攻撃者は悪質なHTTPユーザーエージェントまたはReferrerヘッダをXSSペイロードが含まれているサイトに転送することができます。その後、管理者が管理者パネルにアクセスすると、このプラグインに「Bad Bot Blocker」の設定ページが表示され、攻撃者がサイトの制御を完全掌握してしまいます。」

IPA XSS(CSS)図 — IPA **情報処理推進機構**が示す**XSS**(CSS)図

2020/02/07時点では、 All in One SEO Pack はバージョン3.3.5が最新です。

筆者は、古いバージョンを使っているいくつかのサイトを知っています。

　次の表が示す様に「調査したWordPressサイト」
38サイト中、

WordPressとAll in One SEO Packだけでの関係では、
安全だろうと思われるのは、
たったの6サイト（WordPress5.3.2の欄）の16％に満たないのです。
（先に上げた43サイトとは別の調査です。一部同じサイトが含まれますが）

文字が小さくなってしまいますので、左右分割して上下に表示しますネ

極端に古い3.1.2のWordPressを未だに使い続けている歯医者さんのホームページもあります。

　驚きですが、きっとこのサイトを作ったホームページ制作会社はもうないのか、
それともオーナーがホームページはありさえすれば良いと考えているのかも知れません。
　このホームページだけでなく、
もうメンテナンスされていない古いバージョンを使い続けているところがいっぱいあります。

黄色マーカー部分は、WordPressもAll in One SEO Packも問題です。

WordPressは、5.3.2が現時点での最新版です。

All in One SEO Packは、現時点の最新版は3.3.5です。3.3.4、3.3.3、3.2.10も脆弱性の報告が見つかりませんので大丈夫かも知れません（サポートが英語版なので、詳しく知らないままSEO内部対策用に使っている人が殆どでしょう。）

右半分 — 調査した43WordPressサイトでのAll in One SEO Packのバージョン別利用状況

ひどいと思われませんか？
惨憺たる状況とはこのことです。

さらに驚きなのは、
この中の数サイトが管理ユーザ情報を公開（サイトオーナーは知らない）してしまっているのに、SSL化（暗号化通信）には対応していることです。

ほとんどのサイトオーナーは、ご自分のホームページがこの様な状況だとは夢にも思わないし、考えもしないハズです。（言い方は良くないですが、肝心なことを知らされず騙されているかも知れない）
この様な状況では、最悪のパターンに陥らないとも限らない

あなたのホームページは大丈夫ですか？
お付き合いのあるホームページ制作会社は、
この様なことを伝えてくれたり・してくれたりしていますか？

WordPressテーマCocoonはSEO内部対策機能を内包しています

筆者のサイトは最新版のWordPressをいつでも更新できるようにし、
All in One SEO Packなどの内部SEO対策プラグインは入れていません。
WordPresssテーマのCocoonにその機能が含まれているからです。

　例え、それ以上の機能をAll in One SEO Packが持っていたとしても、
自身で管理が難しいと思われるプラグイン(Plugin)は入れるべきではないと考えているからです。

Cocoonの様に内部SEO対策プラグインを必要としないテーマは他にもあります。

プラグインは多く入れすぎると管理も大変になります。

キャッシュプラグインの「WP Super Cache」に複数の脆弱性。（JPCERT/CC）
アクティブインストール100万以上、総ダウンロード数810万以上のとても人気があるプラグイン
「1.4.4」および以前のバージョンに、
　✔ 悪意あるPHPコードが挿入可能( PHP Object Injection )となる脆弱性
✔ XSSクロスサイトスクリプティングの脆弱性などが含まれている。
　✔ 脆弱性や不具合などを修正した「バージョン1.4.5」

All in One SEO PackとWP Super Cacheは超有名プラグインなのですが、それすらこの様な有様なのです。

また、

「PuSHPress」は開発元のアップデートがなくなりました。（有効インストール数60,000以上)
（インデックス用のプラグイン 最終更新2年前、検証済み最新バージョン WordPress4.8.12）

この様な情報に常に敏感でなければ安心できません。

ですから、
WordPressサイトは、

　WordPress本体だけでなく、
　✔ プラグイン(plugin：この場合WordPressの機能を補完するもの。存在しない機能を追加するのではなく、すでにある機能の追加や置き換えによって動作の一部を改変・補強する )

　✔ テーマ（theme：主にサイトの外観や色合いを業種・業態ごとのテーマに沿って作られたもの。SEO対策や、キャッシュクリアなどの機能を備えたものもある。Cocoonもその中の１つ）

　✔ API（ Application Programming Interface：アプリの機能や管理するデータなどを、外部の他のプログラムから呼び出して利用するための手順やデータ形式などを定めた規約を利用したもの(インターフェース) ）　※※

などにも
脆弱性対応と共に
常にバージョンアップが必須となるのです。

※※. WordPressの4.7と4.7.1で世界の155万以上のサイトが改ざんされるというセキュリティ事故が起きたのは、WordPress 4.7から内包された、REST APIの脆弱性に起因するものでした。