LASSIC Media らしくメディア
WordPressセキュリティ強化ガイド｜改ざん・脆弱性対策
LASSIC IT事業部｜元請（プライムベンダー）としてシステム保守・運用を受託
この記事のポイント
- WordPressは世界的に普及したCMSであるがゆえに、コア本体だけでなくプラグインやテーマの脆弱性も攻撃対象になりやすいシステムです。
- JPCERT/CCはWordPress本体やプラグインの脆弱性を悪用した改ざん・不正コード実行について、公式に注意喚起を発信してきました。
- 更新管理・ログイン保護・改ざん検知・バックアップを組み合わせた多層的な対策と、それを継続できる運用体制の整備が欠かせません。
目次
WordPressが狙われる背景：普及したCMSゆえのリスク
WordPressは世界で広く使われているCMS（コンテンツ管理システム）であり、公式のセキュリティ関連ドキュメントでも「WordPress自体だけでなく、導入済みのすべてのプラグインとテーマを最新の状態に保つことが、WordPressセキュリティにおいて最も重要である」と明記されています*2。多数の企業サイトが同じ仕組みで構築されているという特性は、攻撃者にとって同一の攻撃手法を使い回しやすい環境でもあります。
WordPressのエコシステムには、コア本体に加えて数多くのプラグインとテーマが存在します。WordPress公式ドキュメントも、更新が継続的に提供されているプラグイン・テーマを選ぶよう推奨しており*1、開発が止まった拡張機能を使い続けること自体がリスクの一因になりかねないでしょう。本稿では、サーバー移行や一般的なWAF・脆弱性診断の総論には立ち入らず、WordPress固有の攻撃対象領域に絞って対策を整理します。
WordPressサイトが受ける主なリスク
コンテンツの改ざん
JPCERT/CCは2017年2月、WordPress4.7および4.7.1に存在するREST APIの脆弱性について注意喚起を発信しました。この脆弱性を悪用されると、リモートからの攻撃によってWordPressのコンテンツが改ざんされる可能性があり、当時すでに実証コードが公開されていたことも明らかにされています*3。JPCERT/CCは早期のバージョンアップ（4.7.2以降への更新）を推奨するとともに、対応が済むまでの暫定策としてREST API機能の無効化や制限を挙げていました*3。この事例は、脆弱性の公開から実証コードの流通、そして改ざん被害までの期間が短くなり得ることを示しています。
脆弱なプラグインを悪用した不正コード実行
プラグインの脆弱性も見過ごせないリスクです。JPCERT/CCは2020年9月、WordPress用プラグイン「File Manager」に存在する脆弱性について注意喚起を発信しました。認証されていない遠隔の第三者が悪意のあるファイルをアップロードして実行できる状態であり、脆弱性を持つプラグインが導入されたサイト上で任意のコードを実行される可能性があると説明されています*4。国内企業からのインシデント報告も確認されており、プラグインを無効化するだけでは対策として不十分で、バージョンアップまたはアンインストールが必要と案内されました*4。管理画面から手軽に追加できるプラグインだからこそ、導入後の管理が抜け落ちやすい領域と言えるでしょう。
不正ログイン・総当たり攻撃
管理画面へのログインを狙う攻撃も代表的なリスクです。WordPress公式のセキュリティ関連ドキュメントは、「admin」や「webmaster」のような推測されやすい管理者ユーザー名は真っ先に攻撃対象になりやすいと明記しており*2、ログイン試行を繰り返す攻撃への備えとして、アクセス経路を絞り込む「Limiting access」という考え方を紹介しています*1。ログインまわりの設定を初期状態のまま放置すると、こうした攻撃の入り口を自ら広げてしまう結果になりかねません。
コア・プラグイン・テーマの更新管理を徹底する
WordPress公式ドキュメントは「WordPressセキュリティのために行うべき最も重要なことは、WordPress本体と導入済みのすべてのプラグイン・テーマを最新の状態に保つことである」と明記しています*2。古いバージョンには既知の脆弱性が残ったままになりやすく、攻撃者にとって狙いやすい対象になってしまいます*2。
IPAが公表する「安全なウェブサイトの運用管理に向けての20ヶ条」も、自社サイトを構成するソフトウェア・フレームワーク・CMSを把握したうえで、脆弱性が判明した際には速やかにバージョンアップやセキュリティパッチの適用を行うよう求めています*5。WordPress本体だけでなく、導入しているプラグイン・テーマの一覧を棚卸しし、更新の有無を定期的に確認する運用がまず土台になります。
加えて、開発が止まっているプラグイン・テーマは更新自体が提供されないため、公式ドキュメントは活発に更新が続いている拡張機能を選ぶことを推奨しています*1。使っていないプラグイン・テーマは無効化ではなく削除まで行うことが望ましく、前述のFile Managerの事例が示すとおり、無効化だけでは脆弱性が残存する場合がある点にも注意が必要です*4。
管理画面とログインを守る対策
ログイン保護は、WordPress固有のセキュリティ対策のなかでも優先度の高い領域です。WordPress公式ドキュメントは、管理者ユーザー名を「admin」等の推測されやすい名称にしないこと、二要素認証を追加のセキュリティ手段として導入すること、さらに「/wp-admin/」に対してサーバー側のパスワード保護（Basic認証等）を加えて二重の壁を作ることを挙げています*2。
IPAの20ヶ条でも、推測されやすい単純なパスワードを管理者アカウントや遠隔管理用アプリケーションで使わないこと、開発時に残った不要なテスト用アカウントを削除すること、ファイル・ディレクトリへの適切なアクセス制御を行うことが挙げられています*5。特定のIPアドレスからのみ管理画面へアクセスできるよう制限する方法も、こうしたアクセス制御の一つとして位置づけられるでしょう。ユーザー名・パスワード・アクセス経路という3つの入り口を同時に絞り込むことが、総当たり攻撃への現実的な備えになります。
ファイル・データベース権限と改ざん検知の考え方
本稿は一般的なWAF製品や脆弱性診断サービスの選定論には立ち入りませんが、WordPress固有の設定として押さえておきたい点があります。WordPress公式ドキュメントは、「wp-admin」「wp-includes」ディレクトリを自社の管理アカウントのみが書き込み可能な状態にし、書き込みが必要な「wp-content」以下に権限を絞ることを推奨しています*2。あわせて、定数「DISALLOW_FILE_EDIT」を有効にしてテーマ・プラグインエディタを無効化する設定も紹介されており、これは万一ログイン情報を奪われた場合に攻撃者が真っ先に使う手段を封じ、被害を局所化する狙いがあります*2。
データベース側では、通常運用に必要なSELECT・INSERT・UPDATE・DELETE程度の権限にとどめ、DROPやALTERといった構造変更に関わる権限は必要時以外与えないという考え方も示されています*2。改ざん検知の土台となるログ管理についても、IPAの20ヶ条はシステムログ・アプリケーションログ・アクセスログ・データベース操作ログなど複数種類のログを保存し、定期的に確認してセキュリティ上のインシデントを見つける体制を求めています*5。管理画面の権限設定とログ監視を組み合わせることで、改ざんの兆候に早期に気づける可能性が高まります。
バックアップと復旧計画を整える
WordPress公式ドキュメントは、セキュリティを「リスクを下げること」と「復旧を計画すること」の2つの側面から捉えており、リスクをゼロにはできない以上、両方を備える必要があると説明しています*1。具体的な備えとして、WordPressインストール全体を対象に定期的なバックアップを取得しておけば、たとえ改ざんの発生に数日気づかなかった場合でも復旧の手立てを残せるとしています*2。
改ざんが疑われる場合は、まずアクセスログや管理画面のログイン履歴を確認し、いつ・どこから不審な操作があったかを洗い出したうえで、正常な状態のバックアップへ復旧する流れが基本になります。バックアップ自体に問題のあるファイルが含まれていないかを確認せずに復旧すると、同じ手口で再び改ざんされる恐れがあるため、復旧後は脆弱性の原因となったプラグイン・テーマの更新や設定変更もあわせて行う必要があります。
定期的な脆弱性診断と棚卸しの運用サイクル
WordPressのセキュリティ対策は、一度設定して終わるものではなく継続的な運用が前提になります。WordPress公式ドキュメントも「どのようなシステムであれ、セキュリティを保つことは継続的な作業である」と述べており*1、IPAの20ヶ条もOS・サーバーソフトウェア・ミドルウェアのバージョンアップを継続的に行うことを求めています*5。
実務上は、コアとプラグインの更新通知を定期的に確認する仕組みに加えて、導入済みプラグイン・テーマの棚卸し、管理者アカウントの見直し、ログの確認を月次などの周期でルール化しておくことが有効です。自社の担当者だけで全ての確認を継続するのが難しい場合は、外部の専門家による定期的な診断や運用の伴走を組み合わせる選択肢も検討に値するでしょう。
内製と外部委託、運用体制をどう選ぶか
WordPressセキュリティの各対策は、自社の情報システム部門が内製で運用する方法と、外部パートナーに委託する方法のいずれでも実現できます。両者では、必要なスキルや監視体制、インシデント発生時の対応スピードに違いが出やすいでしょう。以下の表に主な違いを整理しました。
| 比較項目 | 内製運用 | 外部委託 |
|---|---|---|
| 更新・棚卸しの継続性 | 担当者の異動や業務多忙により確認が抜け落ちる場合があります | 専門パートナーが定常業務として更新確認・棚卸しを継続します |
| 脆弱性情報の収集 | 自社で公式情報やJVN等を継続的に確認する体制が必要です*5 | 複数サイトの運用知見をもとに最新の脆弱性情報を把握しやすくなります |
| 改ざん発生時の対応 | ログ確認から復旧までの手順を自社で整備・実行する必要があります | ログ調査からバックアップ復旧までを含めて依頼できます |
| 必要な専門知識 | サーバー権限設定・DB権限・ログ監視など複数分野の知識が求められます*2 | 構築・運用の経験を持つ担当者に任せられるため社内学習は最小限で済みます |
自社に更新確認やログ監視を継続できる体制があるかどうかが、最初の判断軸になります。担当者が他業務と兼任でセキュリティ対応の優先度が上がりにくい場合や、インシデント発生時に即座に動ける体制がない場合は、外部委託によって対応スピードと継続性を補う選択肢が有効です。
まとめ：WordPressセキュリティ強化の3つの軸
本稿ではWordPress固有のセキュリティリスクと対策を、WordPress公式ドキュメントおよびIPA・JPCERT/CCの公式情報に基づいて整理しました。要点は次の3つに集約されます。第一に、改ざんや不正コード実行は、コア本体だけでなくプラグイン・テーマの脆弱性を起点に発生しており、更新管理と不要な拡張機能の削除が土台になります*2*4。第二に、管理者ユーザー名・パスワード・アクセス経路を絞り込むログイン保護と、ファイル・データベースの権限設定を組み合わせることで被害を局所化できます*2。第三に、リスクをゼロにはできない前提で、バックアップと復旧計画、そして継続的な棚卸し・診断のサイクルを運用体制として維持することが欠かせません*1*5。
よくある質問
WordPressのセキュリティ対策で最初に着手すべきことは何ですか。
WordPress公式ドキュメントは、WordPress本体と導入済みのすべてのプラグイン・テーマを最新の状態に保つことが最も重要だとしています*2。まずは導入済み拡張機能の一覧を棚卸しし、更新の有無を確認するところから始めるとよいでしょう。
プラグインを無効化しておけば脆弱性の対策になりますか。
無効化だけでは不十分な場合があります。JPCERT/CCが注意喚起したFile Managerプラグインの脆弱性でも、無効化ではなくバージョンアップまたはアンインストールが必要と案内されています*4。使わないプラグイン・テーマは削除まで行うことが望ましいでしょう。
管理画面のログインはどのように守ればよいですか。
推測されやすい管理者ユーザー名を避けること、二要素認証を導入すること、管理画面へのアクセス経路自体を制限することが挙げられます*1*2。ユーザー名・パスワード・アクセス経路の3点を同時に絞り込む対策が有効です。
改ざんに気づいた場合、まず何を確認すべきですか。
アクセスログや管理画面のログイン履歴を確認し、不審な操作の時期と経路を洗い出します。そのうえで正常な状態のバックアップへ復旧し、原因となった脆弱性の更新や設定変更をあわせて行うことが必要です*5。
WAFを導入すればWordPressの脆弱性対策は不要になりますか。
WAFは攻撃の緩和に役立ちますが、WordPress本体・プラグイン・テーマの更新管理やログイン保護に代わるものではありません。WordPress公式ドキュメントも、更新を継続することが最も重要なセキュリティ対策だとしています*2。
著者：テレリモ総研編集部 鈴木 亮佑
ご不明な点はお問い合わせフォームからもご連絡いただけます。
- *1 出典：WordPress公式ドキュメント「Security」（Advanced Administration Handbook）（https://developer.wordpress.org/advanced-administration/security/）
- *2 出典：WordPress公式ドキュメント「Hardening WordPress」（Advanced Administration Handbook）（https://developer.wordpress.org/advanced-administration/security/hardening/）
- *3 出典：JPCERT/CC「WordPress の脆弱性に関する注意喚起」（https://www.jpcert.or.jp/at/2017/at170006.html）
- *4 出典：JPCERT/CC「WordPress 用プラグイン File Manager の脆弱性について」（https://www.jpcert.or.jp/newsflash/2020090301.html）
- *5 出典：IPA「安全なウェブサイトの運用管理に向けての20ヶ条」（https://www.ipa.go.jp/security/vuln/websecurity/sitecheck.html）
