パッチの仕組み
パッチ（Patch）は、もともと衣服の破れた部分に当てる「つぎあて布」のことです。ソフトウェア全体を作り直すのではなく、問題のある部分だけを直す修正を、この言葉で呼ぶようになりました。
穴の空いた服につぎあてをするのと同じで、パッチを当てれば脆弱性という「穴」は塞がります。ただし、つぎあて布を用意しても、縫い付けなければ穴は空いたままです。パッチも、開発元が公開しただけでは効果がなく、利用者が適用して初めて意味を持ちます。
開発元がパッチを公開すると、その内容から弱点の場所が知られ、攻撃の方法も広まりやすくなります。公開されたパッチを当てずにいると、かえって狙われやすい状態になってしまいます。なお、パッチが出る前に弱点を突く攻撃はゼロデイ攻撃と呼ばれます。
WordPressでの更新の例
WordPressでは、パッチは「アップデート（更新）」の形で配布されます。
- WordPress本体：セキュリティの修正を中心とした小さな更新（マイナーリリース）は、初期設定のまま自動で適用されます。機能追加を含む大きな更新（メジャーリリース）は、設定によっては自動で適用されないことがあります
- プラグイン・テーマ：開発者が修正版を公開すると、管理画面に更新の通知が表示されます。プラグイン一覧から、個別に自動更新を有効にすることもできます
- PHP・サーバーのソフトウェア：WordPressを動かしている土台の部分です。レンタルサーバーでは、サーバー会社が更新するものと、利用者が管理画面から切り替えるもの（PHPのバージョンなど）があります
本体だけを最新にしていても、プラグインやテーマが古いままでは、そこが弱点として残ります。
適用状況の確認方法
- ダッシュボード > 更新 で、本体・テーマ・プラグイン・翻訳に未適用の更新がないか確認する
- プラグイン > インストール済みプラグイン の「自動更新」の列で、どのプラグインが自動更新になっているか確認する
- ツール > サイトヘルス で、PHPのバージョンが古いといった指摘が出ていないか確認する
- しばらく管理画面にログインしていなかった場合は、更新が溜まっていないか特に注意する
運用のポイント
- 更新の前にバックアップを取り、不具合が出たときに元に戻せるようにしておく
- 更新後は、トップページ・お問い合わせフォーム・決済など、大事な機能が動くか確認する
- 表示が崩れるのを心配して先延ばしにしない。気になる場合は、テスト用の環境で先に試す
- 開発が止まり、パッチが出なくなったプラグインやテーマは、代わりのものに乗り換える
セキュリティの修正は、公開から適用までの時間が短いほど安全です。更新を確認する担当者や日程をあらかじめ決めておくと、放置を防げます。
