プラグインの仕組み
WordPressの本体は、ブログやページを作るための基本的な機能だけを備えています。そこにプラグインを追加すると、お問い合わせフォーム、SEOの設定、バックアップ、会員機能など、さまざまな機能を後から足せます。
たとえるなら、スマートフォンに入れるアプリのようなものです。便利な反面、入れたアプリに欠陥があれば、スマートフォン全体が危険にさらされます。
プラグインは、WordPress公式のプラグインディレクトリで無料公開されているもののほか、開発会社が販売する有料のものもあります。多くはWordPress本体とは別の開発者が作っているため、品質や更新の頻度はプラグインごとに大きく異なります。
WordPressサイトでの例
プラグインは、WordPressサイトが侵入される経路として特に多いもののひとつです。
- 脆弱性を突かれる：プラグインの脆弱性を突かれ、ログインなしでファイルを置かれたり、管理者ユーザーを作られたりする
- 更新が止まったプラグイン：開発が終わったプラグインは、脆弱性が見つかっても修正されない。公式ディレクトリで配布が停止されることもあります
- 停止しただけのプラグイン：「停止」にしてもファイルはサーバーに残るため、脆弱性を突かれることがある
- 非公式の配布物：有料プラグインを無料で配っている非公式サイトのファイルには、バックドアが最初から仕込まれていることがある
- 偽のプラグイン：攻撃者が侵入後に設置する不正なプラグイン。一覧に表示されないよう細工されていることもある
確認方法
- プラグイン > インストール済みプラグイン で、入れた覚えのないプラグインがないか確認する
- 更新が出ているプラグインを、そのままにしていないか確認する
- 公式ディレクトリのプラグインのページで、最終更新日が長い間止まっていないか確認する
- サーバー上の
wp-content/plugins/とwp-content/mu-plugins/に、管理画面の一覧にないフォルダやファイルがないか確認する
対策
- 本体・プラグインの更新（パッチ）は、公開されたらできるだけ早く適用する
- 使っていないプラグインは、停止ではなく削除する
- 更新が止まっているプラグインは、代わりのプラグインへの乗り換えを検討する
- プラグインは公式ディレクトリか、開発元の正規の販売サイトから入手する
- 入れるプラグインの数を必要なものだけに絞る
更新によって表示が崩れることもあるため、更新の前にはバックアップを取っておくと安心です。更新の作業や検証の手間をかけられない場合は、保守を専門業者に任せることも検討してください。
