WordPressの脆弱性を、無料で確認。

誰に影響するのか

WordPressは、企業サイト、ブログ、店舗サイト、採用ページ、ECサイトなど、さまざまな用途で使われています。サイトの所有者だけではなく、制作会社、運用担当者、広報、店舗責任者など、サイトに関わる人すべてが影響を受けます。

「制作会社に任せているから大丈夫」と思っていても、更新の停止やプラグインの放置は起きます。管理画面に入れない立場でも、公開情報から状態を確認することはできます。

WordPressのリスクの正体

WordPress本体、プラグイン、テーマは、脆弱性が見つかると修正版が公開されます。古いバージョンを使い続けると、公開済みの脆弱性を自動的に試す攻撃の対象になることがあります。

特に注意したいのは、更新が止まったプラグイン、長期間メンテナンスされていないテーマ、管理者パスワードの使い回し、不要なユーザーアカウントの放置です。これらは外から見えにくいため、定期的な確認が必要です。

• 本体・プラグイン・テーマが最新版か
• 使っていないプラグインやテーマが残っていないか
• 管理者のパスワードと二要素認証が適切か
• バックアップから復旧できる状態か

影響を受けているか確認する方法

まず、WordPressの管理画面で「更新」画面を開き、本体・プラグイン・テーマに更新があるか確認してください。管理画面に入れない場合は、制作会社やホスティング会社に確認を依頼します。

公開ページのHTMLにWordPressのバージョン情報が出ている場合があります。ただし、バージョンが隠されていることも多く、公開情報だけですべてを判断することはできません。脆弱性を試すために攻撃的な操作をしたり、他人のサイトを許可なく調べたりしないでください。

無料スキャンでわかること

Security Postureの無料の基本スキャンは、URLを入れるだけで、公開情報からWordPress本体・プラグイン・テーマの痕跡、公開ファイル、TLS証明書、セキュリティヘッダーなどを確認します。結果は、スコア、リスク判定、カテゴリ別の優先度として表示されます。

検出された具体的なURL、バージョン、証拠、修正手順は、詳細診断のレポートで確認できます。無料結果だけで「攻撃された」「マルウェアに感染した」と断定することはできません。

無料スキャンではわからないこと

無料の基本スキャンは公開情報の限定的なチェックです。管理画面の内部、データベース、非公開ファイル、実際のマルウェア感染、ゼロデイ脆弱性、攻撃の成功可否までは確認しません。

詳細診断でも、マルウェアの駆除、改ざんの復旧、セキュリティ監査、侵入試験、負荷試験は行いません。必要な場合は、ホスティング会社、制作会社、セキュリティ専門会社にご相談ください。

結果の読み方

スコアが低い場合は、公開情報から見て優先的に確認したい項目があります。スコアが高くても、管理画面の設定やマルウェア感染がないことまでは保証されません。

カテゴリ別の優先度が高い項目から確認してください。WordPressやPHPの項目が高い場合は、更新状況とサポート切れの有無を確認します。TLSや公開ファイルの項目が高い場合は、ホスティング会社や制作会社に具体的な確認を依頼します。

次にすること

更新できる状態なら、バックアップを取ったうえで、WordPress本体、プラグイン、テーマの順に更新します。更新前にステージング環境があれば、そこで表示と機能を確認してください。

更新後に表示崩れや問い合わせフォームの不具合がないか確認し、管理者の二要素認証、不要ユーザーの削除、バックアップの復旧テストもあわせて行います。自分で対応できない場合は、制作会社やホスティング会社へ、確認した内容をそのまま渡してください。

• バックアップを取得する
• 本体・プラグイン・テーマを更新する
• 表示とフォーム送信を確認する
• 管理者アカウントと二要素認証を見直す