世界シェアNo.1のCMS、WordPress。
そんなWordPressですが、脆弱性にまつわる情報もあるため不安に感じる方も多いのではないでしょうか？

今回はWordPressの脆弱性と狙われやすい理由、リスクの高い箇所について解説します。また、WordPressのセキュリティ対策についてもお話ししていますので、ぜひ参考にしてみてください。

WordPressの脆弱性とは？

WordPressは世界で最も人気があるCMSで、2024年現在世界でのシェアは6割以上、日本国内では8割を超えています。圧倒的なシェア率を誇るWordPressですが、一方でその脆弱性について危惧されてきました。

脆弱性（ぜいじゃくせい）とは、プログラムの不具合や設計上のミスが原因となって発生するサイバーセキュリティ上の欠陥のこと。WordPressは、WordPressを構成するプログラムやツールが原因で脆弱性が高まることが懸念されています。

WordPressはこういった脆弱性に対し、新しいバージョンを適宜リリースすることで対策をしていますが、ユーザーが更新を怠ってしまうと大切なサイトが危険な状態になってしまうことがあります。

WordPressが狙われやすい理由

WordPressが狙われやすい理由には、以下のようなものが挙げられます。

• ユーザーの数が多い
• オープンソースのCMSである
• セキュリティ意識の低いユーザーが存在する

世界でのシェア率が高くユーザー数が多いと、比例して攻撃対象として狙われる確率が高くなります。
また、WordPressはオープンソースのCMSのためプログラムの内容が公開されています。これによって悪意のある第三者がWordPressの脆弱性を見つけ、攻撃しやすいことも特徴です。

また、WordPressは特別な知識がない人でも使いやすいという利点がありますが、その一方でセキュリティ意識の低いユーザーも多く、セキュリティ対策が万全ではないことが攻撃を許す原因となっています。

WordPressの脆弱性が懸念されるのはどこ？

本体

前述の通り、WordPressはオープンソースのCMSであるためプログラムコードが公開されており誰でも閲覧することが可能です。

WordPressでは適切に脆弱性や不具合への対応を行っているため、常に最新バージョンを維持しておくことで対策は可能ですが、アップデートを怠ってしまうと脆弱性の高い状態でサイトが放置されてしまうことになります。

プラグイン

プラグインとは、WordPressの機能を拡張するためのツールです。
WordPressの既存の機能で補えない部分をカスタム機能として取り入れることができます。プラグインは自由に開発・提供することが可能で、有料・無料を問わず数多くのプラグインが存在しています。

しかし、プラグインの開発者によってセキュリティに関する知識や管理、安全性の配慮に差があり、脆弱性への対応がなされていなかったり、そのまま放置されたりしていることも少なくありません。

また、WordPress本体とは別でアップデートを行う必要があるため、プラグインを導入しているユーザーがアップデートを失念していいるケースもあります。

テーマ

WordPressのテーマとはWEBサイトのデザインや構成を設定するテンプレートで、公式テーマや非公式テーマ、無料・有料とさまざまな種類があります。
WordPressをインストールしたばかりの初期状態でもデフォルトのテーマが設定されていますが、用途に合わせたテーマを使うのが一般的です。

テーマもプラグインと同様に自由に開発・提供することができるため、セキュリティに関する知識や管理、安全性の配慮に差があり、脆弱性への対応が遅れてしまうこともあります。

テーマが狙われるケースはそれほど多くはありませんが、アップデートがある場合には即時更新することを心掛ける必要があります。

WordPressの脆弱性が抱えるリスクとは

WordPressの脆弱性が抱えるリスクには以下のようなものが挙げられます。
被害を受けると大きな損失を受けてしまう恐れがあるため、リスクをしっかりと把握しておきましょう。

個人情報の漏洩

WordPressの脆弱性が抱える3つのリスクの中で、最も注意したいことが個人情報の漏洩です。
サーバーに不正にアクセスされてしまうと、サーバー内にあるデータが流出してしまう恐れがあります。取引先・顧客の個人情報や社内の機密情報が流出してしまうと企業の信頼性が低下し、深刻な被害が発生してしまいます。

場合によっては損害賠償などの訴訟に発展してしまう可能性もあるので十分注意が必要です。

WEBサイトの改ざん

不正なアクセスによってWEBサイトが改ざんされてしまうケースがあります。よくある被害が、WEBサイト上の情報の書き換え・消去です。
そのほか、危険なWEBサイト（フィッシングサイトなど）への誘導や、別サイトへのリンク、不正コードの埋め込み、アクセスするだけでリダイレクトされるなど攻撃方法が多種多様です。

WEBサイトが改ざんされることで企業イメージ低下など、さまざまな悪影響を及ぼしてしまう恐れがあることを覚えておきましょう。

WordPressの脆弱性へのセキュリティ対策

WordPressの脆弱性へのセキュリティ対策は以下の通りです。セキュリティ対策を行い、被害を回避しましょう。

WordPress・プラグイン・テーマの最新バージョンへの更新

WordPressのセキュリティ対策としてもっとも優先したいのが、最新バージョンへの更新です。
WordPress本体とサイトに採用しているプラグイン・テーマの状態を確認し、アップデートがある場合にはすぐに更新してください。

バージョンアップを行う主な目的は新しい機能追加や不具合の修正ですが、脆弱性の対応やセキュリティ強化の可能性もあります。
アップデートが行われても放置していると、対策がされていない脆弱性を突かれて攻撃を受けてしまう恐れがあるため注意しましょう。

複雑なパスワードと二段階認証の設定

アクセス権限を持たない攻撃者からの不正ログインを防ぐためには、ログインができない環境をつくりましょう。
ログインができない環境をつくるためには、複雑なパスワードと二段階認証の設定が有効です。パスワードは、英数字・小文字・大文字・記号を混合させて、推察できない複雑な文字列にすることをおすすめします。

二段階認証はパスワードの入力後にモバイルデバイスまたは物理キーなどの入力を求められるログイン方法です。通常よりも手間はかかりますが、WordPressのセキュリティを大幅に強化できるメリットがあります。

セキュリティプラグインの導入と設定

WordPressは特別な知識がない人でも使いやすいCMSですが、それゆえにセキュリティ対策が万全ではないWEBサイトが多く存在します。
知識がないユーザーの場合はセキュリティプラグインの導入と設定がおすすめです。セキュリティプラグインを設定するだけで基本的なセキュリティ対策を行い、安全性を高めることができます。

ただし、セキュリティプラグインにも種類があります。セキュリティプラグインの特徴を理解し、提供元の信頼性や評判などを事前に調べるようにしましょう。

ログインページのURL変更とIPアドレス制限

WordPressのログインページのURLは、「https://ドメイン名//wp-login.php」がデフォルトで設定されており、ドメイン名が分かっていればアクセス権限を持たない人でもログインすることができます。

そのため、事前にログインURLを変更しておくことをおすすめします。WordPressにはログインページのURLを変更する機能はありませんが、専用のプラグインを導入することで対策が可能です。

また、特定のIPアドレスのみWordPressの管理画面へのアクセスを許可する「IPアドレス制限」を設定することも有効な手段のひとつです。

「DIGITALEYES」なら、セキュリティ配慮も万全！

いまのWEBサイトに対して、脆弱性や悪意のある第三者からの攻撃に不安を感じる方も多いでしょう。そんな時には、ワンエイティの「DIGITALEYES（デジタライズ）」を検討してみてください。

DIGITALEYESは自社開発のCDPツールで、CMSとしても活用されています。
脆弱性対策にも自信があり、ログイン時におけるIP制限、二段階認証、reCAPTCHAなど、サーバーやアプリケーションに対する大手各社のセキュリティ基準を乗り越える脆弱性対策が行われています。

DIGITALEYESに蓄積するデータは、常に高いセキュリティで大切に保管することをお約束しています。

DIGITALEYESサービスサイト：https://o-eighty.jp/solution/digitaleyes/

WordPressの放置はNG！しっかりとしたセキュリティ対策を

WordPressの脆弱性とは、WordPressを構成するプログラムやツールが原因で発生するセキュリティ上の欠陥です。

主にWordPress本体・プラグイン・テーマでセキュリティ対策をせず放置してしまうと、個人情報の漏洩やWEBサイトの改ざんなど脆弱性が高まる可能性があります。不正アクセスなどによるリスクを避けたいなら、セキュリティ対策を行いましょう。

セキュリティ対策に頭を悩ませている方は、ぜひワンエイティにご相談ください。

ワンエイティ自社開発の「DIGITALEYES」なら、利便性はもちろんセキュリティ配慮も万全です。システムの導入に不安を感じている場合には、システムのお申し込みから導入、運用まで、弊社のコンサルタントがしっかりとサポートするのでご安心ください！