WordPressのセキュリティアップデート完全ガイド｜安全に更新する方法を徹底解説

WordPressサイトにセキュリティアップデートを安全に適用する方法をお探しですか？

セキュリティアップデートは非常に重要です。更新を怠ると、サイトがハッキングされるリスクが高まります。しかし一方で、アップデートによって互換性の問題が発生し、サイトが壊れてしまうことも少なくありません。

まさに「板挟み」の状態ですね。

幸い、サイトを壊すことなくアップデートを行う方法があります。それはステージングサイトを使ってアップデートをテストしてから、本番サイトに適用するという手法です。

この記事では、WordPressサイトを安全にアップデートするための手順を、ステップごとに詳しく解説します。

セキュリティアップデートとは？なぜ重要なのか？

アップデートとは、ソフトウェアの新しいバージョンが旧バージョンに置き換わることを指します。WordPress本体やテーマ、プラグインも、他のソフトウェアと同様に定期的にアップデートが提供されます。

アップデートには主に5つの種類があります。セキュリティパッチ、バグ修正、新機能追加、互換性対応、パフォーマンス改善です。

どのアップデートもサイトにメリットをもたらしますが、中でも最も重要なのがセキュリティアップデートです。

その理由は、どんなに優れたソフトウェアでも、時間の経過とともに脆弱性が見つかり、それがハッキングの糸口になり得るからです。開発者は脆弱性を発見すると、迅速に修正を行い、セキュリティアップデートとしてパッチを公開します。

もしサイト運営者がプラグイン・テーマ・WordPress本体のアップデートを先延ばしにすれば、脆弱性は放置されたままとなり、ハッカーに悪用される危険性が高まります。だからこそ、サイトを常に最新の状態に保つことが不可欠なのです。

WordPressにおけるセキュリティアップデートの重要性を理解するには、まずWordPressサイトに影響を及ぼす代表的な脆弱性を把握しておく必要があります。

WordPressの主な脆弱性

WordPressでよく見られる脆弱性は以下の通りです。

1. SQLインジェクション

すべてのWordPressサイトには、お問い合わせフォーム、コメント欄、検索窓などの入力フィールドが存在します。これらの多くはプラグインによって実装されています。訪問者が入力したデータはデータベースに保存されますが、安全性を保つために、入力フィールド側でデータの検証・無害化（サニタイズ）を行う必要があります。

例えば、お問い合わせフォームは本来、名前・電話番号・メールアドレスのみを受け付けるべきものです。しかし、訪問者が入力したデータを適切にサニタイズする設定になっていない場合、SQLインジェクション攻撃に対して脆弱になります。

つまり、ハッカーが訪問者を装って悪意のあるコードを送信し、それがデータベースに保存されてしまうのです。ハッカーはこのコードを実行することで、データベースから情報を盗み出し、サイトへのアクセス権を奪うことができます。

2. クロスサイトスクリプティング（XSS）

SQLインジェクションと同様に、プラグインにはクロスサイトスクリプティング（XSS）の脆弱性が生じることがあります。ハッカーはこの脆弱性を利用してサイトの乗っ取りを図るだけでなく、訪問者からデータを搾取することもあります。

例えば、コメントプラグインにXSS脆弱性があると、ハッカーはサイト上に悪意のあるリンクを挿入できます。リンクの悪意に気づかない訪問者がクリックすると、ブラウザのCookieへのアクセス許可を求められます。

訪問者から見れば、まるでサイト自身が許可を求めているように見えるため、だまされてアクセスを許してしまう可能性が高いでしょう。Cookieにはログイン情報やネットバンキングの認証情報など、機密性の高いデータが含まれています。

3. ファーマハック（製薬ハック）

ファーマハックは、違法薬物の販売や宣伝を目的とした攻撃です。

ハッカーはプラグイン・テーマ・WordPress本体の脆弱性を突いてサイトに侵入し、検索順位の高いページを見つけ出します。そして、バイアグラやシアリス、レビトラといった違法医薬品の広告を注入するのです。

その結果、あなたのページが違法医薬品関連のキーワードで表示されるようになり、訪問者が広告をクリックするとハッカーのサイトへリダイレクトされます。

ファーマハックは、あなたが積み上げてきたSEOの成果を乗っ取り、訪問者を遠ざけてしまう深刻な被害をもたらします。

4. バックドア（裏口）

バックドアとは、サイトに仕掛けられた隠し入口のことです。多くの場合、海賊版（不正コピー）のプラグインやテーマに含まれています。

正規版を購入できない事情から、海賊版ソフトウェアを使用するサイト運営者は少なくありません。しかし、海賊版にはバックドアが仕込まれているケースが多く、インストールした時点でハッカーに侵入経路を提供してしまうことになります。

5. フィッシング

ハッカーはフィッシング攻撃によってサイトへのアクセス権を取得し、スパムメールを大量送信します。これらのメールの目的は、クレジットカード情報や銀行口座情報などの機密データを騙し取ることです。

メールサービスは強力なフィッシング対策を備えています。あなたのWordPressサイトからスパムメールが送信されていることが判明すると、サイトはブラックリストに登録されてしまうでしょう。

以上が、WordPressで最も一般的な脆弱性です。共通点にお気づきでしょうか？いずれも、サイトにインストールされたソフトウェアのセキュリティ脆弱性が原因なのです。

だからこそ、セキュリティアップデートが公開されたら速やかに適用することが極めて重要になります。

ただ、アップデートは頻繁にリリースされるため、管理が大変なのも事実です。次のセクションでは、アップデートを効率的に把握する方法をご紹介します。

WordPressのセキュリティアップデートを確認する方法

アップデートの確認方法は主に2つあります。

1. WordPressダッシュボードから手動で確認する（単一サイト向け）
2. サイト管理プラグインを使って確認する（複数サイト向け）

1. WordPressダッシュボードから手動で確認する

手動でのアップデート確認は、1つのサイトを運営している方に最適な方法です。手順は以下の通りです。

→ サイトにログインします。

→ メニューから「ダッシュボード ＞ 更新」へ移動します。

→ 更新ページには、古くなったソフトウェア（本体・プラグイン・テーマ）と新しいバージョンの詳細が一覧表示されます。「バージョンの詳細を表示」リンクをクリックすると、アップデートの詳細情報を確認できます。セキュリティパッチが含まれる場合は、その旨が記載されています。

→ バージョンの詳細を見ると、1つのアップデートに複数種類の変更が含まれていることがよくあります。例えば、あるプラグインのアップデートでは、バグ修正と互換性問題の解決が同時に行われていました。

→ アップデートには、新機能追加とセキュリティパッチが同梱されることもあります。これは少し厄介なポイントです。新機能が不要でも、脆弱性を残さないためにアップデート自体は必須となります。

2. サイト管理プラグインで確認する

1つのサイトのアップデート管理だけでも大変ですが、複数サイトとなると悪夢のような作業になります。

そんなとき、BlogVaultのようなプラグインを使えば、複数のWordPressサイトのアップデート状況を1つのダッシュボードから一括確認できます。

→ BlogVaultにサインアップし、管理したいサイトをダッシュボードに追加します。

→ 各サイトで保留中のプラグイン・テーマのアップデート数がすぐに表示されます。

→ 詳細を確認するには、対象のサイトを選択して「Manage（管理）」をクリックします。

→ あとは新しいバージョンをクリックするだけで、アップデートの詳細が表示されます。

以上でアップデート確認方法の説明は終わりです。次に、セキュリティアップデートを安全に適用する方法を見ていきましょう。

WordPressのセキュリティアップデートを安全に実施する方法

セキュリティアップデートの適用方法は2つあります。

1. ステージングサイトでアップデートする（安全）
2. ダッシュボードから直接アップデートする（非推奨）

ダッシュボードから直接アップデートすると、サイトが壊れるリスクがあることはよく知られています。壊れたサイトの復旧は困難で時間もかかるため、ここではより安全な方法に絞って解説します。

1. ステージングサイトでアップデートする

ステップ1：WordPressステージングサイトを作成する

ステージングサイトとは、本番サイトの完全なコピーです。

前述の通り、アップデートによってサイトがクラッシュする可能性があります。ステージング環境があれば、本番サイトに適用する前にアップデートをテストできます。

ステージング環境を作成できるプラグインは多数あります。BlogVaultなら無料でWordPressステージング環境を利用でき、セットアップも非常に簡単です。

すでにBlogVaultにサインアップしてサイトをダッシュボードに追加済みである前提で、手順を説明します。

→ 「Staging（ステージング）」セクションに移動し、「Add Staging（ステージングを追加）」をクリックします。

→ 使用するバックアップとPHPバージョンを選択するよう求められます。

→ ステージングサイトの作成には数分かかります。完成したら、アップデートのテストを開始できます。

ステップ2：ステージングサイトでアップデートをテストする

アップデートをテストするには、作成したばかりのステージングサイトにログインします。ステージングサイトのURLは「https://yoursite.d.wpstage.net/」のような形式になっています。

通常のユーザー認証情報でログインできますが、ステージングURLを開くとパスワード保護されていることに気づくでしょう。これは、ステージングサイトを一般公開や検索エンジンから守り、プライベートに保つための措置です。

BlogVaultダッシュボードの「Staging」セクションからユーザー名とパスワードを取得し、それを使ってステージングサイトにアクセスしてください。

→ ステージングサイトのログインページに移動するには、ステージングURLの末尾に「/wp-admin/」を追加します（例：https://yoursite.d.wpstage.net/wp-admin）。

→ 通常のユーザー認証情報を使ってWordPressダッシュボードにログインします。

→ アップデートを実行するには、「ダッシュボード ＞ 更新」へ移動します。

→ 更新ページに、古くなったソフトウェアと新しいバージョンの詳細が表示されます。アップデートするには、プラグイン・テーマ・本体を選択して「更新」ボタンを押すだけです。

→ アップデート適用後は、サイトが正常に機能しているかどうかを必ず確認してください。ホームページ、ブログ記事、カートページ、チェックアウトページなど、重要なページと機能をすべてチェックすることをおすすめします。

確認が完了したら、次のステップに進みましょう。

ステップ3：本番サイトをアップデートする

アップデートによってサイトに問題が発生しなかったことが確認できたら、同じアップデートを本番サイトに適用します。

本番サイトにログインして再度アップデート作業をする必要はありません。ステージングサイトを本番サイトにマージするだけでOKです。

→ BlogVaultダッシュボードの「Staging」セクションに移動し、「Merge（マージ）」をクリックします。

→ BlogVaultが本番サイトとステージングサイトの同期を開始します。完了すると、両者の差分を確認できる画面が表示されます。サイト全体をマージする必要はなく、テストしたプラグイン・テーマ・本体だけを選択して「Next（次へ）」をクリックしましょう。

→ FTP認証情報を入力すると、ステージングサイトが本番サイトにマージされます。

補足：FTP認証情報がわからない場合は、解説動画を参考にするか、WordPressホスティング業者に問い合わせて確認してください。

以上で、アップデートを安全に適用する方法の解説は終わりです。

次にすべきこと

繰り返しになりますが、ソフトウェアのアップデートは脆弱性を修正し、ハッカーやボットからサイトを守る助けになります。しかし、ソフトウェアの脆弱性だけがWordPressサイトへの脅威ではありません。ハッカーがサイトに侵入するために利用する他の脆弱性も存在します。例えば、弱いユーザー認証情報などがその代表例です。

あらゆる種類の脆弱性やハッキング攻撃（DDoS攻撃、ブルートフォース攻撃など）からサイトを守るには、MalCareのようなWordPressセキュリティプラグインの導入をおすすめします。

このようなプラグインは、ファイアウォールによる保護やログイン試行回数の制限などのログイン保護機能を提供します。サイトの強化（ハードニング）対策の実施を支援し、毎日自動でサイトをスキャンします。悪意のある活動が検知されれば、即座に通知を受け取れます。

MalCareを導入して、サイトを24時間365日守りましょう