WordPress脆弱性対策の完全ガイド【プラグイン・テーマ・本体の弱点を今日から塞ぐ方法】

「WordPressのプラグインに脆弱性があると聴いたけど、自分のサイトは大丈夫？」「脆弱性対策って何をすればいいの？」と不安に感じていませんか？

脆弱性（セキュリティホール）は、WordPressのプラグイン・テーマ・本体のプログラムに潜む「弱点」です。攻撃者はこの弱点を突いてサイトに侵入し、改ざん・情報漏洎・マルウェア感染を引き起こします。脆弱性対策はWordPressサイト運営の基本中の基本です。

この記事では、脆弱性の仕組みから、今日からできる具体的な対策まで、順番にわかりやすく解説します。

よこやま良平

ITエンジニアとして20年以上WordPressに携わってきたよこやま良平です。多数のサイト復旧を手がけてきたわたしが、脆弱性対策の要点を初心者でも実践できるよう丁寍に解説します。

WordPressの脆弱性とは何か

脆弱性（ぜいじゃくせい）とは、WordPressのプログラムコードに潜む「セキュリティ上の弱点」のことです。開発者が意図していなかった動作を引き起こすバグや設計ミスが原因で発生します。

脆弱性が発見されると、それを悪用した攻撃ツールが瞬くまに世界中に広まります。古いバージョンのプラグインを使い続けているサイトは、その攻撃の格好の標的になります。

脆弱性を狙った主な攻撃パターン

WordPressの脆弱性を狙った攻撃には、主に以下のパターンがあります。どのような攻撃が行われるかを知ることが、対策の第一歩です。

SQLインジェクション

入力フォームや検索欄などを通じて、データベースへの不正なSQL命令を埋め込む攻撃です。成功すると、データベース内のすべての情報（ユーザー情報・パスワード・記事データ）が漏洎・改ざんされる危険があります。

XSS（クロスサイトスクリプティング）

悪意あるJavaScriptコードをWebページに埋め込む攻撃です。サイトを訪問したユーザーのブラウザでそのコードが実行され、クッキーの盗用・フィッシングサイトへの誤導導・マルウェアの配布などが行われます。コメントフォームや問い合わせフォームを狙った攻撃が多く見られます。

CSRF（クロスサイトリクエストフォージェリ）

ログイン中のWordPress管理者を誘導して、意図しない操作（設定変更・ユーザー追加・投稿削除など）を実行させる攻撃です。管理者がログイン状態のまま悪意あるリンクをクリックするだけで被害を受けます。

ファイルインクルージョン・リモートコード実行

プラグインやテーマの脆弱性を利用して、サーバー上で任意のコード（PHPなど）を実行させる攻撃です。バックドア（隠し侵入口）の設置・マルウェアの配置・サーバーの完全乗っ取りにつながります。

WordPress本体・プラグイン・テーマを常に最新版にする

脆弱性対策で最も重要かつ効果的なのが、WordPress本体・プラグイン・テーマを常に最新版に保つことです。脆弱性が発見されると、開発者は修正したアップデートをリリースします。古いバージョンを使い続けることは、鍵のかかっていない扇を放置するのと同じです。

WordPress本体のアップデート

マイナーバージョンアップ（例：6.5.1→6.5.2）はセキュリティ修正が主です。通知が来たらできるだけ早く適用しましょう。メジャーバージョンアップ（例：6.5→6.6）はバックアップを取ってから行うことをおすすめします。

プラグインのアップデート

使っていないプラグイン・テーマを削除する

「無効化しているから大丈夫」と思いがちですが、無効化しているだけではファイルがサーバーに残っており、脆弱性が放置されています。使っていないプラグイン・テーマは「削除」してください。

脆弱性を自動検出・監視する方法

インストールしているプラグイン・テーマが脆弱性を抱えているかどうかを、手動で常にチェックするのは現実的ではありません。自動で監視してくれるツールを使いましょう。

Patchstackで脆弱性を自動監視する

Patchstackは、インストール済みのプラグイン・テーマ・WordPress本体に既知の脆弱性が見つかった場合に、メールでアラートを送ってくれる無料のセキュリティプラグインです。

Wordfenceのスキャンでマルウェアも検出する

Wordfenceは、脆弱性の監視に加えてマルウェアのスキャン・ファイルの改ざん検出も行える多機能セキュリティプラグインです。無料版でも基本的なスキャンが使えます。

ログイン保護で不正アクセスを防ぐ

脆弱性対策はアップデートだけではありません。ログイン画面への不正アクセスを防ぐことも同じくらい重要です。

ログインページURLを変更する

WordPressのデフォルトのログインページURL（/wp-login.php・/wp-admin/）は攻撃者に知られています。SiteGuardプラグインを使って変更することで、ブルートフォース攻撃のリスクを大幅に下げられます。

ログイン失敗回数を制限する

ブルートフォース攻撃（パスワードの総当たり攻撃）を防ぐために、ログインの失敗回数を制限します。SiteGuardやWordfence、Limit Login Attempts Reloadedなどで設定できます。

二段階認証を設定する

パスワードが漏洎しても不正ログインを防ぐ最強の対策が二段階認証（2FA）です。認証アプリ（Google Authenticatorなど）を使ったTOTP方式は、Solid SecurityまたはWordfenceの無料版から設定できます。

管理者アカウントID「admin」を使わない

WordPressのデフォルト管理者ユーザー名「admin」は攻撃者が最初に試すIDです。インストール時に「admin」以外のユーザー名を設定するか、すでに「admin」を使っている場合は別のユーザーを管理者として追加し、「admin」アカウントを削除してください。

ファイアウォールとマルウェアスキャンを導入する

アップデートやログイン保護だけでは防ぎきれない攻撃に対して、ファイアウォール（WAF）とマルウェアスキャンが最後の砂とになります。

Wordfenceでファイアウォールを有効にする

Wordfenceのファイアウォール（WAF）はSQLインジェクション・XSS・ファイルインクルージョンなどの攻撃パターンをリアルタイムでブロックします。無料版でも基本的なファイアウォール機能が使えます。

wp-config.phpとファイルパーミッションを保護する

wp-config.phpはWordPressの最も重要な設定ファイルで、データベースの接続情報が書かれています。このファイルが外部から読み取られると、サイト全体が危険にさらされます。

wp-config.phpへのアクセスを制限する

.htaccessに以下のコードを追加することで、wp-config.phpへの外部からの直接アクセスをブロックできます。

# wp-config.phpへのアクセスを拒否
order allow,deny
deny from all

ファイルパーミッションを正しく設定する

WordPressのファイルとフォルダに適切なパーミッションを設定することで、不正なファイルの書き込みや実行を防げます。

XMLRPCを適切に設定する

XMLRPC（xmlrpc.php）はWordPressの外部連携機能ですが、ブルートフォース攻撃の標的になりやすい脆弱なエンドポイントでもあります。Jetpackなど一部のプラグインはXMLRPCを必要としますが、使っていない場合は無効化または制限してください。

# XMLRPC無効化
order deny,allow
deny from all

SSLを導入してHTTPS通信を必須にする

SSLは通信を暗号化する技術です。SSL（HTTPS）が設定されていないサイトでは、ログイン情報やフォームの入力内容が平文で送受信され、傍受される可能性があります。現在は多くのレンタルサーバーが無料のSSL証明書を提供しています。

定期バックアップで万が一に備える

どれだけ対策を施しても、100%安全なWebサイトは存在しません。万が一の侵害に備えて、定期的なバックアップは必須です。バックアップがあれば、感染前の状態に素早く復旧できます。

脆弱性対策チェックリスト

ここまで紹介した対策をチェックリストにまとめました。一つずつ確認して、対策が漏れていないか確認してください。

脆弱性のあるプラグインを使い続けるとどうなりますか？

脆弱性が公開されると、自動化されたツールが世界中のWordPressサイトを無差別にスキャンして攻撃を試みます。脆弱性のあるプラグインを使い続けると、サイトの改ざん・マルウェア感染・不正ログイン・情報漏洎などの被害を受ける可能性が高まります。脆弱性が報告されたプラグインは、修正バージョンへの更新または一時的な無効化を速やかに行ってください。

プラグインを多く入れるほど脆弱性のリスクが高まりますか？

はい、インストールするプラグインの数が多いほど、脆弱性が含まれるリスクは比例して高まります。各プラグインがアップデートされるたびに脆弱性が発見・修正されますが、更新を忘れると脆弱なプラグインがサイトに残り続けます。本当に必要なプラグインだけを厳選して使い、使わないプラグインは削除することをおすすめします。

WordPressのバージョンを最新にしたのに攻撃されました。なぜですか？

WordPress本体の更新だけでは不十分です。攻撃の多くはプラグインやテーマの脆弱性を狙っています。WordPress本体のセキュリティは非常に高いですが、プラグインとテーマはサードパーティが開発しており、品質にばらつきがあります。本体・プラグイン・テーマの三つをすべて最新に保ち、不要なプラグインを削除することが重要です。

有料テーマや無効化された（Null化）プラグインは安全ですか？

無効化（Null化）されたテーマやプラグインは非常に危険です。有料プラグイン・テーマのライセンスを無効化して無料で配布している非公式サイトが存在しますが、そのほとんどにバックドアやマルウェアが仕込まれています。絶対に使用しないでください。必ず公式サイトまたはWordPress.orgから入手してください。

WordPress脆弱性対策まとめ

WordPress脆弱性対策の基本は「更新・監視・アクセス制限・バックアップ」の4つです。どれか一つが欠けても、攻撃者に狙われる隙が生まれます。

脆弱性対策は一度やれば終わりではありません。毎月のメンテナンスとして、更新確認・スキャン実行・バックアップ確認を習慣にしましょう。

ホームページの乗っ取りが自分で解決できない時は

ホームページの乗っ取り・マルウェア感染・不正アクセスでお困りなら、
クイックレスキューが解決します。

こんなお悩みなら最短30分ですぐに解決します！
いまなら期間限定で3つの安心保証