シンガポール企業が運営する、一般公開されたWordPressサイト102件を対象とした調査では、確認された脆弱性が、古いプラグインを複数抱えるサイトに集中していました。古いプラグインが3つ以上ある34サイトで、検出された脆弱性1,853件のうち1,375件、全体の74.2%を占めたと報告されています。
2
この結果は、WordPress本体(コア)の更新に加え、プラグインの状態を継続的に管理することもサイト保守の重要な要素であると示しています。
サイトの約3分の1に、脆弱性の約4分の3が集中
古いプラグインが3つ以上あった34サイトは、調査対象の33.3%でした。一方、これらのサイトが占めたのは、確認された脆弱性の74.2%です。
2 検出結果は各サイトに均等に分布しておらず、古いプラグインが複数あるサイトに偏っていました。
ただし、これはスキャン結果に見られた集中を示すもので、検出されたすべての問題が古いプラグインによって引き起こされたことを証明するものではありません。また、脆弱性が検出されたからといって、そのサイトが侵害されたことを意味するわけでもありません。
コアが最新でも、プラグインの問題は残りうる
WordPressコアが最新のバージョンだった48サイトのうち、29サイト(60.4%)でプラグインの脆弱性が確認されました。また、25サイト(52.1%)には古いプラグインがありました。なお、「古いプラグインがあること」と「そのプラグインに脆弱性が確認されること」は、別の指標です。
反対に、WordPressコアが古かった41サイトのうち39サイト(95.1%)には、古いプラグインもありました。これらのサイトでは脆弱性が1,283件検出され、全体の69.2%を占めています。調査対象では、コアとプラグイン双方の保守上の課題が重なっているケースが多かったことがうかがえます。この調査は、シンガポール企業のWordPressサイトに関するセキュリティリスクの地域データを提供することを目的としています。
6
コアの更新だけでは不十分な理由
WordPressコアを更新しても、古いプラグインや脆弱性のあるプラグインが自動的に解消されるわけではありません。コアやテーマの更新に加えて、導入済みプラグインの把握と更新も、実際の保守作業に含める必要があります。提供されたWordPress関連資料も、ソフトウェアの更新とバックアップの維持を推奨しています。
4
10
定期的にプラグインを確認し、使っていないものを削除するほか、利用可能な更新を適用し、更新後の動作やバックアップを確認するといった運用が考えられます。ただし、更新や確認はリスクを下げるための対策であり、サイトの安全を保証するものではありません。
スキャン結果が示すこと、示さないこと
この調査では、一般公開されているサイトを自動スキャンし、手法は非侵入的なものと説明されています。
7 その結果が示すのは、スキャン時点で検出可能だったリスクです。それだけで、脆弱性が悪用されたこと、サイトが侵害されたこと、あるいは検出された問題すべてが古いソフトウェアに起因することまでは証明できません。