WordPressプラグインのセキュリティ事案を受け、緊急点検・対応を実施しました

今週、WordPressのプラグインで、正規のアップデートに不正なコードが含まれる事案が確認されました。

弊社でも、管理しているサイトの状況を確認し、必要に応じて緊急メンテナンスや安全措置を実施しました。今回はその対応と、私たちが日々の保守で大切にしていることをお伝えします。

正規のアップデート経路で起きたこと

開発元の公表内容によると、プラグインを配布する環境が第三者に侵害され、不正なコードを含む更新データが、通常のアップデートとして提供されていました。

いわゆる「サプライチェーン型」と呼ばれる事案です。ソフトウェアの提供元や、それを届ける仕組みが悪用され、利用者のサイトにまで影響が及ぶ可能性がありました。

不審なサイトから入手したものではなく、いつも使っている正規の更新経路で起きたことです。普段どおり更新していても、それだけでは防げない問題がある。今回の事案では、この点を押さえておく必要があります。

管理しているサイトの点検と対応

弊社では、管理対象サイトについて、状況に応じて次の点検・対応を行いました。

• 対象サイトの状況確認
• 必要に応じた緊急メンテナンス
• バックアップの保全
• 不審なファイルや変更の確認
• プラグインおよびWordPress環境の確認
• 必要な安全措置の実施

お客様の情報とセキュリティに関わるため、個別のサイト名や調査・対応の詳細は、ここでは控えます。点検や対応を行ったあとも、その時点で確認できたことをもとに、次に必要な確認や対応を判断していきます。

更新したあとも、見ておくということ

WordPressは、自動更新していればそれだけで安心、とは言い切れません。

もちろん、自動更新は日々の運用を支える便利な仕組みです。更新の遅れを減らすためにも、活用する意味はあります。ただ、更新が終わったあと、サイトがどんな状態になっているかを確認する仕事は残ります。

+STOCKでは、月末など決まった日にまとめて更新するだけの運用はしていません。普段からWordPressやテーマ、プラグイン等の更新とセキュリティ監視、日々の人による監査を行い、異常が確認された場合には個別に対応しています。

自動化できるところは自動化し、通知やサイトの状態を人が確認する。気になる変化があれば、内容を確かめて、必要な対応を考える。今回の緊急点検・対応も、こうした日々の保守の一環です。

正規のアップデート経路そのものに問題が起きたときは、なおさら「更新しました」で終えることはできません。更新したあとも状態を見て、必要に応じて手を動かす。そこまで含めて、保守の仕事だと考えています。

日々の確認を、これからも

WordPressを使い続ける以上、すべてのセキュリティリスクをゼロにすることはできません。

問題を起こさないための対策を重ねることは、もちろん必要です。そのうえで、何かあったときに気づけること、必要な対応をできるだけ早く始められること。そのための状態を、日々の管理で整えておきたいと思っています。

保守は、日々の仕事が外からは見えにくいサービスです。それでも、更新し、見守り、確かめる。その積み重ねが、お客様のホームページを支える仕事になります。

ひきつづき、自動化と人による確認の両方を使いながら、一つひとつのサイトに向き合ってまいります。

ご契約中のお客様へ

弊社の保守サービスをご利用中のお客様で、サイトの状態や今回の対応について気になることがありましたら、担当者までメールまたはお電話でお気軽にご連絡ください。

ご契約前の方へ

弊社との保守契約をご検討中の方や、他社からの保守の引き継ぎをご希望の方は、WordPress保守引き継ぎ診断をご利用ください。現在の管理状況を整理するための、無料の相談窓口です。