WordPressのセキュリティーは弱い？

ホームページでよく使われるCMSの1つwordpressはセキュリティー面で弱いと言われることが多々あります。

その理由と真偽について解説します。

目次

1. 結論
2. WordPressのシェア
3. WordPressの脆弱性の原因と対策
4. まとめ

１.結論

WordPressのセキュリティーは、適切に管理すれば弱くない

弱いと言われる理由

• ユーザー数が多く有名な管理ソフトのため多くの人が構造や使い勝手を知っていることから悪意がある人にとって脆弱性を探しやすい
• ユーザー数が多い分、セキュリティー対策やアップデートが適切でないサイトは、同じ脆弱性により被害数が拡大する

2.WordPressのシェア

グラフのグレーは正味利用率、緑はマーケットシェア

引用（2023/07/20）：https://w3techs.com/technologies/overview/content_management

上の図からもワードプレスは、圧倒的な人気を誇っています。

シェアが高いということは、それだけ支持する人が多いということですが、

裏を返せばシェアが高い分、１つの脆弱性で被害は全体の数パーセント以下だったとしても母数が大きいため被害数は大きくなります。

3.WordPressの脆弱性の原因と対策

脆弱性の原因

• 更新を怠った
• テーマに問題があった
• プラグインに問題があった

WordPressは世界中で多くのユーザーがいるためWordpress自体のCMSやプラグインに不具合があった場合早いタイミングで更新が発生します。

脆弱性が発見されて最初に自社サイトが攻撃された場合は、バックアップから自社サイトを復元する方法を取るしかないかもしれませんが、

世界中のWebサイトから自社サイトが攻撃対象として初期段階に選ばれるのは、宝くじに当たるような確率かもしれません

言い換えるとほとんどの場合、アップデートが発生したタイミングで更新を行えば、ほとんどの被害を避けることができるのです。

更新には、WordPress自体の更新、テーマの更新、プラグインの更新などがありますが、
ユーザー数が多くないテーマやプラグインは、まだ明らかになっていないセキュリティーホールが眠っている可能性もありプラグインやテーマを選ぶ際は

ユーザー数が多いものや定期的にアップデートが発生しているものの方がきちんとメンテナンスされているため安心です。

初心者でもやりたいWordPressのセキュリティー基本対策

• パスワードの強化
• ログインページの変更
• 不要なら、コメント機能を無効にする

初歩的かもしれませんが、パスワードは推測されにくい物を設定しましょう

パスワードの強化については、WordPressのログインパスワードだけでなく、サーバー自体へのログインパスワードも同様に強化する必要があります。

WordPressの特徴として、https://○○.com/wp-adminとURLを指定するとデフォルトで管理画面へのログインページに遷移する仕様となっていますが、攻撃を避けるためログインURLは変更しましょう。

具体的にはSiteGuard WP Plugin>>のプラグインを利用すると簡単に対策できます。

ログインURLを変更することで、URLを知ってないと入口にも到達できなくなるため悪意あるユーザーのアクセスを大幅に削減できます。

さらにSiteGuard WP Pluginの特徴としてログイン時

上図のような日本語認証がありますので、海外からの攻撃についても大幅に削減することができます。

コメント機能を無効は、WordPressのデフォルト機能で投稿に対してコメントして双方向のコミュニケーションが取れる機能が備わっているのですが、ほとんどの方は使用していません、
したがって、これを無効にすることでスパムコメントを阻止できます。

万が一に備えたバックアップ

アップデートなど必要な対策を十分に行っていてもセキュリティーを突破されてしまう可能性はゼロではありません

したがって定期的にバックアップを取りローカル環境にデータを保存することをおすすめします。

バックアップツール（参考）＞＞

バックアップデータがあることでサイトが改ざんされてしまったとしても正常だった時のサイトに戻すことができます。

4.まとめ

WordPressは人気の管理ツール（CMS）で初心者でも気軽に使えることがかなりのメリットです。

一方でユーザー数が多いことからアップデートなどを適切にせず脆弱性を放置すると攻撃の被害に遭う可能性が高まります。
裏を返せば適切に管理を行えば、被害者の数パーセントにはなりにくいのです。

その対策として初心者であっても行える基本対策は行い
万が一に備えバックアップを定期的に取ることで被害を最小限に抑えることが可能です。

以上WordPressのセキュリティー対策の知識になりましたら幸いです。