この記事ではWebサイト制作者ではない方（もしくは非エンジニア）でもわかるように噛み砕いて解説しています。
まず重要な話から。
もしWordPressで制作しているホームページをお持ちであれば今すぐに下記のバージョン以上になっているか確認してください。
- 6.8系：6.8.6以上
- 6.9系：6.9.5以上
- 7.0系：7.0.2以上
もしご自身でホームページの管理をしていて、この意味がわからない方は相談してください。当社ではホームページの無料相談を承っております。
※本来はホームページでの集客に力を入れていきたい方やセカンドオピニオンの意味での無料相談ですが、今回はあまりにも緊急性が高いため、うまく使ってください
WordPressのバージョンが6.8未満であれば今回の脆弱性問題からは対象外です。
しかし、古いバージョンを使い続けるリスクは残ります。別の問題として対処しましょう。
ホームページ保守契約をしている方は制作会社からの報告を促してみましょう。
目次
WordPress深刻な脆弱性「wp2shell」何が危険か
主に2点。
- WordPressの本体の脆弱性であること
- 外部からログインなしでサーバーを遠隔操作できてしまうこと
もっと詳しくいうと、WordPressサイトを運用していれば誰でも対象になっており、セキュリティプラグインを入れていたとしても、ホームページが改ざんされたり、ウイルスが仕込まれたりするということ。
とにかくヤバイ。
「あとで更新しよう」が致命傷になります。
各レンタルサーバー会社もサーバー側での対処を行ってくれていますが、一時的な対策にすぎません。
また、今回のようなセキュリティに関するアップデート（マイナーアップデート）は基本的に自動更新になっています。
だからといって放置せず、WordPress本体がしっかりアップデートできているかを管理画面にて確認してください。
参考：WordPressの深刻度「緊急」脆弱性 wp2shell の概要と対応指針
https://blog.flatt.tech/entry/wp2shell_wordpress
保守契約中のクライアントに行ったこと
当社がサーバーからWebサイト本体を保守するパターンもあれば、サーバーの監視・管理は別会社が行う場合もあります。その際はサーバーの管理会社と協力して対応に当たります。
ホームページの表示
- 正しく表示されているか
- 他のサイトに飛ばされないか
WordPressの管理画面
- WordPressのアップデート確認
- 新しいユーザーが追加されていないか
- 知らないプラグインが追加されていないか
- 誰でもユーザー登録できる状態になっていないか
- ログイン履歴の確認（セキュリティプラグインを使用）
サーバー・FTP
- サーバーログの確認
- 不審なファイルが追加されていないか
- 既存ファイルが改ざんされていないか
今回は3連休中に公表された脆弱性でした。私が気がついたのは日曜日、取り急ぎその場で、管理画面までの内容をチェックしています。
クライアントには週明けに被害がないことを報告し、サーバーログなどの調査は後日対応いたしました。
WordPressが危険なのではない。保守しない（できない）から危険なのだ
今回の脆弱性の発表で「WordPressは危ない」「WordPressなんて使わない方が良い」と不安を煽るSNS投稿や記事が増えると思います。
私も実際にWordPressを使わなくて良い状況であれば、その方法を提案します。
しかし、「WordPressだから危険」と言い切ってしまうのは間違いです。
たとえば、みなさんがお使いのスマートフォンも何回もアップデートが来ますよね？
このアップデートには機能の追加はもちろんのこと、バグの修正や今回のような脆弱性への対策も含まれています。
脆弱性が見つかったからといって、スマートフォンを使わなくなるでしょうか？
WordPressもそれと同じなんです。
システムだからこそ保守が必要で、正しく管理していれば大きな問題に発展することはありません。
ただ、多くの場合は保守を誰が・どんなときに・どうやって行うかが曖昧です。
仮に外部に依頼しても形だけの契約になっているように思います。
わからないことをわからないまま放置するのはやめましょう。
ホームページの保守契約の必要性や相場などは別の記事で解説していますので、こちらも参考にしてください。
ホームページの保守契約には技術・責任料が含まれる
目に見える商品と違って、保守費用は目に見えないサービスです。
よく「保険料と一緒だよ」と表現されますが、掛け捨ての保険料に毎月1.5万円も払うのかと言われると、たしかに疑問です。
※当社のHP運用サポートの一番安いプランは月額1.5万円（税抜）です
※ドメイン・サーバー代が含まれます
多少サービスが悪くても安く受けられるならその方が良い、その気持もわかります。
なぜ当社のホームページ保守費用が1.5万円～なのかというと、技術・責任料も含まれるから。
脆弱性情報の取得だったり最新バージョンへの対応だったり日々進化する技術を追っていかなければいけません。そして、お客様の大切なデータが危険にさらされないように守る責任があります。
付随して、クライアントの悩みやその悩みを解決するための方法を一緒に考えます。
ときにホームページ以外のことでもご相談をいただきますが、保守契約をしていると、なるべくその中で対応してあげたいと思うあまり自分が苦しむこともしばしば⋯。
健全なお取引ができるように1.5万円～という価格でご提供しています。
現在ご自身で管理をされていて不安な方、外部に依頼しているけれど疑問をお持ちの方がいらっしゃったらぜひお気軽にご相談ください。