WordPressを更新していても防げない「サーバー側」の脆弱性とは｜PHP・ミドルウェアのリスクと管理の考え方

WordPressサイトの脆弱性は、どこに問題があるかによって大きく2つに分けられます。

サイト側の脆弱性は、WordPressの管理画面から状況を確認しやすく、更新の通知も届きます。一方、サーバー側の脆弱性は管理画面からは見えにくく、そもそも誰が対応する担当なのかが曖昧になりがちです。サイト側の対策の考え方は「WordPressの脆弱性は防げる？重要なのは『対策』ではなく『運用』です」で詳しく解説しています。

PHPは、WordPressのプログラムを動かしている言語です。WordPressのページを表示するたびに、サーバー上でPHPが処理を行っています。PHP本体に脆弱性があると、WordPressの作りに関係なく、PHPを使っているサイトすべてが影響を受ける可能性があります。

ApacheやNginxなど、閲覧者からのリクエストを受け付けるソフトウェアです。設定の不備や脆弱性があると、本来は見えないはずのファイルが外部から読み取られるといった被害につながります。

MySQLやMariaDBなど、投稿やユーザー情報を保存するソフトウェアです。外部から直接アクセスできる状態のまま運用していると、不正アクセスの入口になり得ます。

サーバーの土台となるLinuxなどのOSです。OSに権限昇格の脆弱性があると、ほかの脆弱性と組み合わせることで、攻撃者にサーバー全体を乗っ取られるおそれがあります。

サーバー側の脆弱性が悪用されると、被害はWordPressの改ざんにとどまりません。サーバー上でプログラムを実行されると、同じサーバー上のほかのサイトやデータ、データベースの接続情報などにも被害が広がる可能性があります。

WordPress本体やプラグインの更新は、WordPressというアプリケーションの中の問題を直すものです。PHPやOSの問題は、その外側にあります。そのため、WordPressの更新だけではサーバー側の脆弱性はふさがりません。

脆弱性が公表されると、多くの場合は修正版も同時に公開されます。問題は、それを自分のサーバーに適用するまでの時間です。担当者が情報に気づくのが遅れたり、夜間や休日に公表されたりすると、その間はサーバーが無防備な状態になります。

PHPやOSには、開発元が修正版を提供する期間（サポート期間）が決まっています。サポートが終わったバージョンでは、新しい脆弱性が見つかっても公式の修正版は出ません。WordPressは古いPHPでもしばらく動いてしまうため、問題に気づかないまま使い続けているケースが少なくありません。PHPのサポート期限の考え方は「PHPのサポート期限とは？」で解説しています。

サーバー側の管理を誰が担うかは、サーバーの契約形態によって変わります。一般的な共用レンタルサーバーではOSやミドルウェアの更新を事業者が行うことが多い一方、VPSやAWSなどのクラウドで自前でサーバーを構築している場合は、利用者自身が管理するのが基本です。

注意したいのは、同じ「PHPの更新」でも、セキュリティの修正を当てる作業と、PHPのバージョン自体を上げる作業は別物だという点です。前者は事業者が行い、後者は利用者が行う、という形も珍しくありません。サーバーの種類ごとの違いは「PHPの更新は誰がやる？」で比較しています。

また、保守業務全体を「インフラ層」「WordPress層」「コンテンツ運用層」の3つに分けて整理する考え方は、「WordPressの保守とは？」で解説しています。

まずは、自社のWordPressサイトがどのサーバーで動いていて、OSやPHPの更新を誰が行っているのかを把握しておくことが出発点です。制作会社に任せている場合でも、サーバーの契約者と管理者が誰なのかは社内で把握しておきましょう。

WordPressの管理画面の「ツール」→「サイトヘルス」→「情報」から、サーバーのPHPバージョンを確認できます。そのバージョンのサポート期限がいつまでかを確認し、期限が近ければ更新の計画を立てます。PHPのバージョンアップの手順は「WordPressのPHPバージョンアップの進め方」で解説しています。

サーバー側の脆弱性は、公表から攻撃までの時間が短いことがあります。誰が情報を受け取り、誰が対応の判断をするのかを、平時のうちに決めておきましょう。

AWSやVPSでサーバーを自前で運用している場合は、OSやミドルウェアの情報収集から適用までを社内で回す必要があります。具体的な進め方と、自前運用を続けるかの判断基準は「AWS・VPSでWordPressを運用する担当者のためのサーバーのパッチ管理」で解説しています。

サーバー側の管理を社内で続けるのが難しい場合は、インフラの管理をサービスとして提供するマネージド型のホスティングを利用するのも一つの方法です。

「WP-Chorus」は、NHNテコラスが提供する企業向けのWordPressクラウドホスティングです。OSやミドルウェアのパッチ適用を含むインフラ運用管理を全プランで標準提供しており、ミドルウェアのパッチ管理はNHNテコラスが対応します。

• 24時間365日のサーバー運用監視
• WAFとDDoS対策を標準装備
• 自動バックアップと、コントロールパネルからの復元
• ワンクリックで作成できるステージング環境

なお、WordPress本体やプラグインの更新は利用者側の作業です。WP-Chorusはサーバー側を任せられる基盤であり、サイト側の更新と組み合わせることで、両面の管理が整います。

• WordPressの脆弱性は、本体やプラグインなどの「サイト側」と、PHPやOSなどの「サーバー側」に分かれる
• サーバー側の脆弱性は、WordPressを最新にしていても防げない
• サーバー側では「修正の適用の遅れ」と「サポート切れのバージョンの利用」がリスクになりやすい
• 誰がサーバー側を管理しているのかを把握し、脆弱性が公表されたときの連絡経路を決めておくことが大切
  
  

サイト側の対策とあわせて、サーバー側の管理体制も一度見直してみてください。