WordPress緊急セキュリティ情報

対象となるWordPressのバージョン

WordPress 6.8より前のバージョンは、今回発表された脆弱性の対象外とされています。
ただし、古いWordPressには別の脆弱性が残っている可能性があります。
今回の対象外だから、そのままでよいという意味ではありません。

WordPressのバージョンを確認する方法

1. WordPressの管理画面へログインします。
2. 左側のメニューから「ダッシュボード」を開きます。
3. 「更新」を開き、現在のWordPressの状態を確認します。
4. 更新が表示されている場合は、バージョン番号を確認します。

管理画面の一番下に、現在のWordPressバージョンが表示されている場合もあります。

ただし、テーマやセキュリティ系プラグインによって、画面上のバージョン表示が隠されていることがあります。
表示を隠していても、WordPress本体が安全になるわけではありません。

更新前に確認すること

今回は重大な脆弱性のため、できるだけ早い更新が必要です。
ただし、何も確認せずに更新すると、ホームページが正常に動かなくなる場合があります。

WordPress本体を更新する

1. WordPress管理画面の「ダッシュボード」を開きます。
2. 「更新」を開きます。
3. WordPress本体の更新が表示されていたら「今すぐ更新」を押します。
4. 更新完了後、もう一度「更新」を開き、修正版になっていることを確認します。

更新中はブラウザを閉じたり、何度も再読み込みしたりせず、完了画面が表示されるまで待ってください。

自動更新されていると思い込まないでください

WordPress公式は、影響を受けるサイトに対して自動更新を行っています。
しかし、すべてのサイトが必ず正常に更新されるとは限りません。

• 自動更新を無効化している
• サーバーのファイル権限に問題がある
• 更新処理が途中で失敗している
• サーバーの空き容量が不足している
• PHPやデータベースの環境が古い
• 独自の管理方法で更新を止めている

自動更新の設定をしているから大丈夫ではなく、実際のバージョンを確認することが大切です。

更新後に確認する場所

キャッシュ系プラグインやCDNを利用している場合は、更新後にキャッシュを削除してください。

更新すれば、すべて解決するわけではありません

WordPressを修正版へ更新すれば、今回発見された脆弱性はふさがります。

ただし、すでに侵入されていた場合、不正なファイルや管理者アカウントが自動的に消えるわけではありません。

更新前に危険なバージョンを公開していた場合は、念のため次の項目も確認してください。

• 身に覚えのない管理者アカウント
• 身に覚えのないプラグイン
• 不審なPHPファイル
• uploadsフォルダ内のPHPファイル
• WordPressコアファイルの改ざん
• 不自然な投稿やデータ
• アクセスログやエラーログ
• FTP、SFTP、SSHの接続履歴

WordPressは作って終わりではありません

WordPressは、公開した時点では正常でも、そのまま何年も安全に動き続けるものではありません。

• WordPress本体
• プラグイン
• テーマ
• PHP
• データベース
• レンタルサーバー
• メール送信環境
• SSL証明書

いろいろな仕組みが組み合わさって動いているため、どれか一つが古くなれば、セキュリティや動作に影響します。

自動更新を止めること自体が悪いわけではありません。
ただし、自動更新を止めるのであれば、その代わりに誰かが更新情報を確認し、必要な対応を判断しなければなりません。

自動更新を止めたまま、誰も見ていない状態が一番危険です。