WP Live Chat Supportプラグインに深刻な脆弱性が発見！ハッカーによるサイト乗っ取りのリスクと対策を解説

WordPressサイトの運営は魅力的ですが、デジタルの世界では常に「善」と「悪」の戦いが繰り広げられています。映画のような話に聞こえるかもしれませんが、これは紛れもない現実です。「善」側のセキュリティ研究者や開発者はサイトを安全に保とうとし、「悪」側のハッカーやスパマーはそれを不正利用しようと狙っています。

39秒に1回、どこかで攻撃が発生している

「39秒に1回、どこかでウェブサイトへの攻撃が発生しており、WordPressの脆弱性の98%はプラグインに関連しています」

あなたがこの記事を読んでいる今この瞬間も、どこかの攻撃者がプラグインの脆弱性を悪用してWordPressサイトへの不正アクセスを試みています。

2019年4月、セキュリティ研究者たちによってWP Live Chat Supportプラグインに持続型クロスサイトスクリプティング（XSS）の脆弱性が発見されました。この脆弱性を突けば、ハッカーはサイトに悪意のあるスクリプトを注入し、サイト全体の制御を奪うことが可能になります。WP Live Chat Supportは、エンゲージメント向上やコンバージョン促進のための有料ライブチャットツールの代替として人気だった無料プラグインです。アクティブインストール数は6万件超に達しており、数千人規模のユーザーが危険に晒されていました。

この脆弱性とは？どんな影響があるのか？

この脆弱性により、攻撃者は対象サイトに対してクロスサイトスクリプティング（XSS）攻撃を実行できました。

XSS攻撃では、ハッカーがサイト所有者の気づかないうちに悪意のあるスクリプトやコードを注入します。このコードは、ユーザーデータの収集（要注意！）、サイトコンテンツの改ざん、別の感染ページへの誘導などを引き起こします。特に、サーバー上に保存される領域（例：ユーザーコメント）にコードを注入されると、それは持続型XSS（Persistent XSS）となります。

「持続型」と呼ばれる理由は、ユーザーが感染ページを開くたびにブラウザが悪意あるコードを実行し、攻撃が完了してしまうためです

検索エンジン、とりわけGoogleはサイトのセキュリティを極めて重視しています。そのため、こうした脆弱性はSEOに深刻な悪影響を及ぼします。さらにユーザーからの信頼低下にもつながります。最悪の場合、サイトへのアクセス権を失ったり、スパムリンクやマルウェアの存在を理由にホスティング会社からアカウントを停止されたりすることもあります。

この脆弱性が特に深刻なのは、認証不要であり、感染サイトにアカウントを持たない第三者でも悪用できる点です。認証が不要であるため、大規模な攻撃の自動化が容易になり、今回のケースでは6万件を超えるサイトが被害対象となり得ました。

攻撃の仕組み

この攻撃を可能にしたのは、保護されていない「admin_initフック」です。WordPressプラグイン攻撃において、攻撃者が出発点とする非常に典型的な箇所です。

まずフックとは、あるコードが別のコードと連携・改変を行うための仕組みです。WordPressは通常、誰かが管理画面にアクセスした際にこのフックを呼び出し、開発者はそこで各種関数を実行できます。問題は、このフックが認証を要求せず、管理URLにアクセスした人なら誰でもコードを実行できたことにあります。WP Live Chatの管理フックは「wplc_head_basic」というアクションを呼び出しますが、これはユーザー権限を一切チェックせず、そのままプラグイン設定を更新してしまうのです。

ハッカーはこの欠陥を利用して、「wplc_custom_js」というJavaScriptオプションを書き換えられます。これはライブチャットウィンドウ表示時に出力されるコンテンツを制御するオプションです。考えてみてください。ライブチャットウィジェットは訪問者のほぼ全ページに表示されます。つまり、ハッカーにとってこの手法を使えば複数ページを一括で標的にするのは容易なのです。

どうやってサイトを守ればいいのか？

幸い、WP Live Chat Supportプラグインの開発元は本脆弱性を修正するパッチをリリース済みです。したがって、ハッキングを防ぐ最善策は最新バージョンへのアップデートです。

8.0.27以降のバージョンは安全ですが、それでも常時最新版へのアップデートをおすすめします。最新バージョンは8.0.33です。

今後もサイトを安全に保つために

ステップ1：プラグイン・テーマは信頼できるソースからのみ入手する

高価なプレミアムプラグインを海賊版サイトやトレントで無料入手できたら魅力的ですよね？プレミアム機能をタダで使えると考えているかもしれません。しかし、本当に得なのでしょうか？

信頼できないソースからダウンロードする時点で、マルウェアやウイルス混入のリスクを受け入れていることになります。プラグイン代金をわずかに節約したつもりが、サイト復旧に莫大な費用と時間を費やす結果になりかねません。必ず信頼できる公式ソースから入手し、専門家やコミュニティによる悪意あるコードの審査が済んでいるかを確認しましょう。

信頼できるWordPressマーケットプレイス：

• WordPress.org
• CodeCanyon
• PickPlug-ins
• Mojo Marketplace
• MyThemeshop
• Themeisle
• ThemeForest

ステップ2：信頼性の高いセキュリティプラグインを導入する

WordPress本体には比較的強固なセキュリティ機構が備わっています。しかし、前述のような脆弱性はその防御をすり抜けてサイトを脅かす可能性があります。だからこそ、専用のセキュリティプラグインは不可欠です。

選ぶ際のポイントは、攻撃後の事後スキャンだけでなく、常時能動的にサイトを防御してくれるタイプを選ぶこと。マルウェアスキャン・駆除、WordPressファイアウォール、サイト管理を24時間365日体制で提供し、価格も手頃なものが理想的です。

MalCareはまさにこれらを念頭に開発されたセキュリティプラグインで、サイトの防御態勢を常に最高水準に保ちます。

マルウェアスキャン：

MalCareは100以上のシグナルでサイトをスキャンし、シグネチャ照合の枠を超えた検知を行います。市販の他プラグインより高度なマルウェア検出が可能で、データベースに未登録の未知のマルウェアまで識別できます。

サイト全体と同期し、24時間365日あらゆる変化を監視。不正な変更は正確な位置まで特定され、感染源の究明に役立ちます。しかもスキャンは自社サーバー上で実行されるため、サーバーへの負荷はゼロ。サイトの表示速度が落ちる心配はありません。

設定でスケジュールを指定すれば毎日の自動スキャンが可能です。加えて、いつでも実行できる無制限のオンデマンドスキャンにも対応し、マルウェア検出時は即座に通知されます。

「感染通知を受けたのに確認したら誤検知だった」というストレスもMalCareなら安心。業界最小水準の誤検知率を誇り、徹底した検証の末にのみ通知します。

マルウェア駆除：

MalCareのワンクリック駆除機能なら、60秒以内にサイトをマルウェアフリーにできます！

駆除時にサイトへ影響を与えないのも特長です。感染ファイルが見つかると、感染部分だけを精密に除去し、正常なデータは完全に保持します。バックグラウンドで駆除作業中でもサイトが壊れることはありません。

一度駆除されたマルウェアが再感染することは二度とありません。永久に。水痘にかかった体が免疫を獲得するように、MalCareは同じ種類の攻撃からサイトを守る免疫を構築します。

WordPressファイアウォール：

悪質なトラフィックを締め出し、正当なアクセスだけを通せたら理想的ですよね？MalCareファイアウォールはまさにそれを実現します。

ネットワーク内の既知の悪意あるIPリストと照合し、受信トラフィックを24時間365日監視。危険なIPからのアクセスをブロックします。攻撃者がそもそもサイトにアクセスできなければ、攻撃自体が成立しません。追加保護としてジオブロッキングにも対応しています。さらにCAPTCHAベースのログイン保護でブルートフォース攻撃を防御し、不審なログインを検知すれば即時通知されるため迅速な対応が可能です。

加えて二要素認証（2FA）により、正しいパスワードとコードがない限り誰もサイトにアクセスできません。

サイト管理：

全プラグインを最新版に保つことは基本中の基本です。今回の脆弱性対策も、パッチ公開後すぐのアップデートが最善策でした。MalCareの管理ツールなら保有する全サイトのテーマ・プラグインを一括アップデートできます。WordPressコアマネージャーを使えば、コアの変更管理、WordPressのアップグレード、PHPバージョンの確認も行えます。

また、クライアントにアクセス権を渡したいが勝手に触られたくない場合は、ユーザーロールとアクセス権限を細かく割り当て可能なので、意図しない変更を防げます。チームメンバーやクライアントの追加も簡単です。

さらに、MalCareなら無制限のサイトを管理できます。

サイトの稼働状況（アップタイム）の監視、Slackへのダウンタイムアラート、パフォーマンスチェックにも対応。オンデマンド・定期の両方に対応したクライアントレポート機能で、データ集計と洞察の一元化による時間短縮も実現します。

そして、そのすべてを一元化されたダッシュボードから操作できます！

ウェブセキュリティに妥協は許されません。ウェブサイトはデジタル世界におけるあなたの分身です。マルウェア、ウイルス、ハッキングなど、いかなる脅威からも守る必要があります。MalCareは現在と未来の脅威からサイトを守り抜きます。月額8.25ドルから世界クラスのセキュリティを導入可能です。紹介したすべての機能は、どのプランでも追加料金なしで利用できます。

MalCareが24時間365日、あらゆる脅威からあなたのサイトを守ります。