サイトは制作会社に任せていて、どんなプラグインが入っているかよく知らない。そんな担当者の方に向けて、プラグインの脆弱性（ぜいじゃくせい：攻撃に悪用されるおそれのある弱点）の調べ方と、更新の前後に確認することを説明します。
出典のない助言は、診断の仕事を通じたシンクトラストの見方です。
なぜプラグインが狙われるのか
プラグインは、WordPressに機能を足すための追加ソフトウェアです。WordPress公式の説明では、プラグインは「サイトに深く入り込んでいるため、常に最新の状態にしておくことが重要」とされています（サイトヘルス画面）。
公式の安全対策ガイドは、よくある攻撃の1つに特定の脆弱性を突くものを挙げ、「古い/更新されていないプラグインやソフトウェアへの攻撃も含む」と書いています（WordPress の安全性を高める）。会社の規模に関係なく、古いプラグインが残るサイトは狙われうる、というのがシンクトラストの見方です。
まず、プラグインと版を一覧にする
IPA（独立行政法人情報処理推進機構）は、自組織のウェブサイトが「どのようなソフトウェアで作られているか把握して脆弱性対策をとる必要があります」と書いています（安全なウェブサイトの運用管理に向けての20ヶ条）。
「プラグイン」画面で見る
左メニューの「プラグイン」を開くと、「プラグイン一覧」にすべてのプラグインが並びます。説明の欄に、バージョン番号（版を表す数字）と作者名が出ます。画面上部の「使用中」「停止中」「利用可能な更新」のリンクで絞り込めます（プラグイン画面の説明）。
「サイトヘルス」の「情報」タブで見る
「ツール」>「サイトヘルス」の「情報」タブには、「使用中のプラグイン」と「停止中のプラグイン」があり、バージョン、作者、自動更新が有効かどうかを見られます。サイトの情報をクリップボードにコピーする機能もあります（サイトヘルス画面）。確認日を添えて保存しておくと、台帳として使えます。
管理画面に入れない場合は、制作会社に一覧を頼みましょう。
脆弱性があるかを調べる
1. 更新の通知を見る
新しいバージョンがあると、「プラグイン」メニューに丸付きの数字が出ます。「ダッシュボード → 更新」画面でも確認できます。ただし、通知が出るのは公式のプラグインディレクトリ（配布サイト）で配られているプラグインです。それ以外は、管理者が個別に確認する必要があります（プラグイン画面の説明、ダッシュボードの更新画面）。
2. 公的な脆弱性情報を探す
JVN（Japan Vulnerability Notes）は、JPCERTコーディネーションセンターとIPAが共同で運営する「脆弱性対策情報ポータルサイト」です（JVNとは）。
- 脆弱性レポート一覧を開き、ブラウザーのページ内検索で、プラグイン名や「WordPress」を探します。確認日の時点で、「WordPress用プラグイン」で始まる件名のレポートが載っていました。
- レポートでは「影響を受けるシステム」と「対策方法」を見ます。前者に製品名とバージョン番号が、後者に対策が書かれています（脆弱性レポートの読み方）。自分の一覧と見比べます。
IPAは、情報収集に使えるものとして「JVN iPedia」も挙げています（前掲の20ヶ条）。ただし確認日の時点で、JVN iPediaは「サービス停止中」で、「11月中に再開する見込み」とありました。そのため、検索の手順はこの記事では説明していません。
3. プラグイン公式ページを見る
公式のプラグインディレクトリでプラグイン名を検索し、個別ページを開きます。確認できた表示は次のとおりです。
- 「バージョン」「最終更新日」「有効インストール数」
- 「WordPress バージョン」「検証済み最新バージョン」（どの版のWordPressまで動作を確かめたか）
- 「変更履歴」
自社の版より新しい版の「変更履歴」に、セキュリティの修正を思わせる記述（英語なら security など）があれば、早めの更新を検討する材料になります（シンクトラストの見方です）。
更新する前の確認
- バックアップ：公式文書は、WordPress本体の更新の前にサイトをバックアップするようすすめています（WordPress のアップグレード）。バックアップは「データベースとファイルの２つ」に分かれ、両方が必要です。最低3つを別々の場所に保存するとよい、ともあります。プラグインの更新でも同じ備えをしておくと安心です（WordPress のバックアップ）。
- 互換性：プラグイン一覧の「詳細を表示」リンクから、WordPressの各バージョンとの互換性の情報を見られます（プラグインの管理）。
- 検証環境：本番とは別の、試験用のサイトのことです。IPAはサーバーのソフトウェアについて、バージョンアップには「事前の検証の必要があります」としています（前掲の20ヶ条）。プラグインも、先に検証環境で試すのが安全だとシンクトラストは考えます。用意できない場合は、利用者の少ない時間帯に1つずつ更新します。
「プラグイン」画面の「自動更新」列で、プラグインごとに自動更新も選べます。公式文書は、有効にする前に、以前のバージョンに戻せることを確認するよう求めています（プラグインとテーマの自動更新）。
更新した後の確認
公式文書（英語）は、本体やプラグインの更新後にサイトを訪れて動作を確かめるよう案内しています（Updating WordPress）。見る場所の目安は次のとおりです（シンクトラストの見方です）。
- 表示：トップページと主なページ。
- フォーム：問い合わせフォームを試しに送り、通知メールが届くか。
- 管理画面：ログインでき、投稿の編集画面が開くか。
- エラー：「プラグイン」画面に、エラーで停止したという警告が出ていないか。「サイトヘルス」の「ステータス」タブに「致命的な問題」が出ていないか。
不具合が出たときについて、公式文書には、他のプラグインとの競合が原因のことがあり、他のプラグインを無効にして確かめる、という方法が載っています（プラグインの管理）。
更新できない・開発が止まったプラグイン
公式ディレクトリの開発者向け文書（英語）によると、次の表示があります（Alerts and Warnings）。
- 古くなったプラグイン：WordPressの直近3つのメジャーリリースで動作確認されていないと、保守が止まっている可能性がある、という趣旨の注意書きが出ます。
- 閉鎖されたプラグイン：閉鎖され、ダウンロードできない旨が表示されます。60日たつと理由が大まかに示され、その種類には「Security Issue」（セキュリティ上の問題）もあります。
こうしたプラグインは、次の順で考えます。
- 使っていないなら削除する。公式のガイドも、そうすすめています（WordPress の安全性を高める）。
- 使っているなら、保守が続いている別のプラグインに置き換えられないか、制作会社に相談する（シンクトラストの見方です）。
自分で調べる範囲と、診断を頼む範囲
ここまでの方法で分かるのは、「公表ずみの脆弱性が、自社の版に当てはまるか」です。設定の不備や、独自に作った部分の問題までは分かりません。
IPAは、外部の組織による脆弱性検査（診断）を「対策漏れなどを洗い出すために効果的な手段」としています（前掲の20ヶ条）。診断で何を見るのかはWordPressのセキュリティ診断で確認することに、費用や依頼前の準備はWordPressセキュリティ診断の費用と依頼前チェックリストにまとめています。
まとめ
- まず、プラグインとバージョンの一覧を作ります。
- 更新の通知、JVN、プラグイン公式ページの3つで調べます。
- 更新の前はバックアップと互換性、更新の後は表示・フォーム・管理画面・エラーを確かめます。
- 使っていないプラグインは削除し、開発が止まったものは置き換えを考えます。
シンクトラストでは、中小企業向けのセキュリティ診断サービスを行っています。自分で調べてみて不安が残ったときの、選択肢の1つとしてご覧ください。
コメント