WordPressの脆弱性とは？ どんなセキュリティ対策が必要？

WordPressの管理画面に不正アクセスされると、Webサイトを乗っ取られてしまう恐れがあります。

管理画面は、記事の作成やデザインの変更、ファイルの消去や書き換え、ユーザーの設定など、Webサイトのあらゆる操作ができる場所です。

悪意を持った攻撃者が管理画面にアクセス可能な状態になってしまったら、何をされるかわかりませんよね。

もしログイン用のパスワードを勝手に変更されてしまったら、自分のWebサイトにログインすらできなくなってしまいます。

Webサイトの不正改ざんとは、何らかの方法でWebサイトが意図しない内容に書き換えられてしまうことです。

不正改ざんの被害には、次のようなものがあります。

こういった改ざんは、管理画面への不正アクセスが可能な状態なら、いとも簡単におこなえます。

Webサイトに不正アクセスされてしまった場合、個人情報や営業上の機密情報が外部へ流出してしまう危険性があります。

個人情報とは、メールアドレスやパスワード、住所、氏名、電話番号、クレジットカードの情報（番号、有効期限、セキュリティコード）などです。

ECサイトはもちろん、お問い合わせフォームを設置しているWebサイトも個人情報を収集していることになります。

情報漏洩が発生してしまうと、企業やサービスの信頼性がいちじるしく失墜するとともに、

損害賠償などの金銭的な被害も発生する可能性が高いため、特に注意が必要です。

「ブルートフォースアタック」とは、ユーザー名やパスワードを総当たり攻撃で解読する攻撃のことです。

攻撃者は、パスワードを手当たり次第に入力し、文字列や組み合わせを少しずつ変えながらログインに成功するまで攻撃を繰り返します。

古典的な手段ですが、自動プログラムによる攻撃が可能で、時間をかければ成功することからひんぱんに使用される方法です。

ユーザー名が推測されやすかったり、パスワードが短かったりすると、攻撃が成功しやすくなるという特徴があります。

「クロスサイトスクリプティング」とは、Webサイトの脆弱性を狙って不正なコード（HTMLやJavaScriptなど）を挿入する攻撃です。

これにより、「アクセスしてきた人をフィッシングサイトや偽物のサイトへ自動転送させる」「ブラウザ上で不正なプログラムを実行させる」といった被害につながります。

また、不正なコードを入力フォームにしかけられると、攻撃者もフォームに入力した情報を取得できるようになるため、個人情報が筒抜けになってしまいます。

「コンテンツインジェクション」とは、名前が示すとおりWebサイトのテキストや画像などのコンテンツを外部から改ざんする攻撃です。

WordPressでは実際に、コンテンツインジェクションができてしまう脆弱性が発見されたことがあり、有名人のサイトにも被害が発生して騒然となりました。

コンテンツ（記事そのものや、ページ内に記載された情報）は、Webサイトにとってもっとも重要な要素です。

つまり、コンテンツインジェクションはWebサイトそのものの信頼度をいちじるしく損なってしまう可能性があり、被害の大きさは計り知れません。

「SQLインジェクション」とは、WordPressのデータベースを対象とした攻撃のことです。

SQLとはデータベースをコントロールするプログラム言語のことで、WordPressもSQLで動作しています。

攻撃者は、脆弱性を突いてSQLの不正コードを入力し、隠されている情報を盗んだりWebサイトを勝手に書き換えたりします。

情報漏洩や改ざん、乗っ取りなどの被害を発生させる危険な攻撃だといえるでしょう。

まずはアップデート情報をこまめにチェックし、WordPress本体を常に最新のバージョンに保っておくことが大切です。

たとえWordPressに脆弱性やバグが発見されたとしても、ほとんどの場合は短期間でプログラムの修正がおこなわれます。

しかし、アップデートをせずに古いままにしておくと脆弱性を放置することになってしまい、とても危険です。

WordPressに新しいバージョンがあるかどうかは、管理画面の「更新」ページから確認できます。

WordPressの更新については、「【WordPressを最新版に更新】する全手順を、初心者向けに5ステップで解説」の記事もあわせてご確認ください。

WordPressの本体に加え、各プラグインやテーマを最新バージョンに保っておくことも大切です。

WordPressでは、プラグインやテーマの脆弱性も攻撃対象となってしまうからです。

中には公開されてから1年・2年と長期間にわたって更新されていないプラグインやテーマもありますが、

脆弱性があっても放置されている危険性があるため、なるべく使用しないほうがいいでしょう。

プラグインやテーマの更新の有無についても、管理画面の「更新」ページから確認できます。

WordPressでは使っていないプラグインが攻撃の標的になることもあります。

使わなくなったプラグインは使用を停止するだけではなく、削除しておくようにしましょう。

便利なプラグインはあれこれ試したくなるものですが、プラグインを増やすということは攻撃者に狙われやすい要素を増やすことにもなるため、リスクが増大してしまいます。

プラグインを導入する際は、本当に必要なプラグインだけにしましょう。それだけでも有効なセキュリティ対策となります。

プラグインの削除は、管理画面にある「プラグイン」のページからおこなうことができます。

万が一Webサイトを改ざんされてしまった際にも、バックアップを取ってあれば元の状態に戻すことが可能です。

元の形が残らないほど改ざんされてしまったときや、Webサイト自体を消されてしまったときも、短時間で復旧が可能です。

反対に、コンテンツが膨大でどこが改ざんされたかわからず、問題点を探し出すのに時間がかかりそうなときでも、ひとまず丸ごと元に戻せるというメリットがあります。

Webサイトのデータは、誤操作やカスタマイズ失敗などの予期せぬトラブルでも消えてしまうこともあるので、バックアップを取っておくに越したことはありません。

WordPressのバックアップを取るためのくわしい方法は、「【初心者も簡単】WordPressのバックアップを取る3つの方法！」で解説しています。

WordPressの管理画面にログインするためのユーザー名やパスワードは、第三者に推測されにくいものに変更しておきましょう。

WordPressには、投稿ページに投稿者の名前を表示させる機能が備わっていますが、デフォルトではログインに使うユーザー名が表示されてしまうため、管理画面へのログイン情報を半分公開していることになります。

必ず表示専用のニックネームを用意しておきましょう。

パスワードは、使う文字の種類や桁数を増やせば増やすほど安全性が高まります。

たとえば「12345678」のような単純で短いパスワードはすぐに解読される確率が高く、危険です。

小文字・大文字・数字・記号などを織り交ぜ、複雑なものを設定しましょう。

WordPressのログインページは「https://◯◯◯◯/wp-login.php」というURLに固定されています。

このログインページURLを変更することでブルートフォースアタックを防ぐ手出てとなります。

ただしWordPressには、ログインページのURLを変更する機能が備わっていません。

「Login rebuilder」や「WPS Hide Login」など、ログインURLを変えられるセキュリティ対策用のプラグインを導入しましょう。

「画像認証」や「2段階認証」を導入すると、プログラムによって自動化された攻撃を防ぐ効果があります。

画像認証とは、ページ内に表示されている画像内のテキストを入力させたり、パズルを完成させたりして、

アクセスしてきたのが人間なのかプログラムなのかを判別する仕組みのことです。

2段階認証とは、ユーザー名とパスワードに加え、ワンタイムパスワードやメールで送信されるコードといった認証キーがないとログインできないようにするものです。

いずれもプラグインを使って導入することができます。

「WAF」とは「Web Application Firewall」のことで、Webサイトを設置しているサーバーやデータベースの手前に設置し、怪しいアクセスを遮断するためのものです。

WAFのメリットは、すでにご紹介した「ブルートフォースアタック」や「SQLインジェクション」など、あの手この手を使ったさまざまな攻撃からWebサイトを守ることができる点です。

攻撃者が脆弱性を狙った攻撃をしてきたとしても、それを検知して通信そのものをシャットアウトするため、安全性がぐっと高まります。

「SSL化」とは、Webサイト全体の通信を暗号化することです。

SSL化をすると、通信データの漏洩や盗難、なりすましによる不正アクセスなどを防ぐ効果があります。

サイト全体のSSL化はもはや必須ともいえるもので、SSL化していないページではアクセスした人のブラウザに「保護されていない通信」という警告が出てしまいます。

また、SSL化していないWebサイトは、Googleなどの検索エンジンにおいても順位が上がりにくいなどのデメリットが発生してしまいます。

Webにくわしくない初心者でもたった10分で始められるレンタルサーバー「ConoHa WING」。

とっても簡単だから今すぐ始めちゃいましょう。

また下記の記事では、ConoHa WINGを使ってWordPressを開設する方法を、画像付きでくわしく解説しています。

他社のレンタルサーバーをご利用中で、ConoHa WINGにお乗り換えを検討されている方も安心です！

煩雑なレンタルサーバーの移行もかんたんにお乗換えいただけるよう、いくつかのサポートを用意しています。