開発者がプラグインを更新しないとどうなる?WordPressサイトを守るための対処法

開発者がプラグインを更新しないと、サイトは深刻なリスクにさらされます。WordPressサイトの運営者は、WordPressコアやテーマ・プラグインなどのアドオンを常に最新の状態に保つよう注意喚起されています。放置されたままのプラグインには脆弱性が生じ、ハッカーがそれを悪用してサイトに侵入する恐れがあります。しかし、脆弱性が発見されても、開発者が修正アップデートをリリースしていない場合はどうすればよいのでしょうか?この記事では、開発者がアップデートを公開するまでの間、サイトを安全に保つための具体的な行動指針を解説します。

2016年、セキュリティブログは、人気キャッシュプラグイン「W3 Total Cache」にクロスサイトスクリプティング(XSS)脆弱性が見つかったと報告しました。W3 Total Cacheは100万以上のアクティブインストール数を誇る最も人気のあるキャッシュプラグインの一つで、pearsonified.comやmashable.com、さらにはAT&Tのコーポレートサイトでも利用されていました。実はこれが初めてのことではなく、過去にもTotal Cacheには多くの脆弱性が確認され、その一部は実際に悪用されていました。

報告当時、サポートフォーラムでは、ユーザーが何ヶ月もの間開発者との連絡を試みても応答がないという不満が相次いでいました。ある不満を抱いたユーザーはFacebookグループで、「このプラグインは7ヶ月以上更新されていない」と投稿しました。クロスサイトスクリプティング脆弱性が、W3 Total Cacheを使用するサイトに与えうる被害への懸念は、当然のことと言えるでしょう。

脆弱性が公表されてから約1週間後、W3 Total Cacheはアップデートをリリースし、悪用可能な穴を修正しました。さらに新機能も追加されています。しかしパッチのリリース直後、多くのサイト運営者が「アップデートによってサイトが壊れた」と報告しました。新しいアップデートでサイトが壊れることは決して珍しくありません。だからこそ、ステージング環境の利用が推奨されます。ステージングサイトでアップデートをテストしてから本番サイトに反映すれば、問題が発生しても本番サイトを壊すことなく開発者に問い合わせることができます。W3 Total Cacheの開発者がパッチをリリースするまでには時間がかかりましたが、結果的に大惨事には至りませんでした。

開発者がプラグインを更新しないときの対処法

WordPressは世界で最も人気のあるウェブサイト構築プラットフォームであり、その人気の大きな理由の一つが、プラグインによる簡単なデザイン変更や機能追加です。多くのWordPressプラグインは、開発者が副業として作成しています。脆弱性が発生した場合、問題の特定だけでなくパッチの開発にも多大な時間と労力が必要です。本業があるためすぐに対応できないことも多く、サイドプロジェクトは優先度が低くなりがちです。その結果、パッチのリリースが遅れてしまうのです。

WordPressは世界中に広がるインターネットコミュニティであり、コアやアドオン(テーマ・プラグイン)に見つかった脆弱性のニュースは瞬く間に拡散します。つまり、脆弱なサイトを常時探しているハッカーが、わずか数時間以内に大規模な攻撃を仕掛ける可能性があるということです。したがって、プラグインの脆弱性が見つかったのに開発者がまだアップデートをリリースしていない場合は、サイトを守るために何らかの行動を取ることが極めて重要です。以下に、そのような状況での対処法を紹介します。

• プラグインを無効化する:脆弱性を修正するアップデートが開発者からリリースされるまで、該当プラグインを無効化します。
• サポートフォーラムで訴える:有料プラグインやプレミアム版でない場合は、wordpress.orgのサポートフォーラムで不満を投稿しましょう。十分な数の声が届けば、開発者が迅速にパッチをリリースするきっかけになるかもしれません。
• 開発者に直接連絡する:通常、脆弱性の発見から48時間以内にアップデートが提供されます。それ以上かかる場合は、開発者に連絡して問題を伝えましょう。その際、脆弱性についてどこで知ったのか(情報源)を必ず明記してください。プラグインの公式サイトには「お問い合わせ」ページやメールアドレスがあるはずです。迷わずメールを送りましょう。
• 代替プラグインを使う:その間、サイトの機能を維持できる代替プラグインを利用します。プラグインが動作しなくなった場合に備えた計画をあらかじめ用意しておくことが推奨されます。

前述の通り、WordPressプラグインディレクトリには、趣味や副業として開発されたプラグインが数多く存在します。つまり、無料製品を作っている開発者は、いつでもその製品を放棄する可能性があるということです。だからこそ、多くのセキュリティ専門家は、コミュニティで有名で信頼されている開発者が作った有料(プレミアム)プラグインのみを推奨しています。報酬を得ていない開発者は、プラグインやテーマの改善・保守に割く時間が少なくなりがちです。本業で忙しく、収入にならない製品に時間を投資するのは非現実的だと考えるのは自然なことでしょう。

脆弱性は、熟練した開発者の作ったプラグインにも素人の作ったプラグインにも発生します。放棄されたテーマやプラグインを使い続ければ、メンテナンスもアップデートも行われません。エラーが発生しても、開発チームが放棄していればサポートを受けることはできません。代替プラグインやテーマへの切り替えには再び時間と手間がかかりますが、それが唯一の現実的な選択肢となります。優れたサイトセキュリティ慣行では、プラグイン選びの際にいくつかの基準に従うことを推奨しています。以下にまとめました:

• 著名な開発者が作ったプラグインを選ぶ:開発者に放棄されたプラグインを使う状況を避けるためです。
• 定期的に更新されているか確認する:定期的な更新は、ハッカーに悪用される可能性のある脆弱性が適切に修正されていることを意味します。WordPressディレクトリで最終更新日を確認しましょう。

• 無料版よりも有料版を使う:無料版がある場合は基本機能のテストに活用し、その後プレミアム版へアップグレードすることをおすすめします。前述の通り、無料プラグインは開発が放棄されたり、重要なアップデートの提供に時間がかかったりする可能性があります。

この記事が、開発者がプラグインを更新しない場合の行動指針の参考になれば幸いです。ご質問があれば、お気軽にお問い合わせください。