WordPress脆弱性スキャナーおすすめ5選｜サイトのセキュリティ穴を早期発見しよう

「自分のWordPressサイトは本当に安全なのだろうか？」と不安を感じていませんか？サイトに潜むセキュリティ上の欠陥を見つけて、早めに対処したいと考えている方も多いはずです。

その心配は決して無駄ではありません。ハッカーに脆弱性を突かれると、訪問者を知らないサイトへ強制的にリダイレクトさせられたり、顧客にスパムを送りつけられたり、あなたのサイトを通じて違法商品が販売されたりと、さまざまな悪用行為が行われる可能性があります。

こうした被害は、サイトだけでなくビジネス全体に深刻なダメージをもたらします。Googleなどの検索エンジンがハッキングを検知すると、サイトはブラックリストに登録され、訪問者がアクセスできなくなります。同様に、レンタルサーバー会社も問題が解決されるまでアカウントを停止する場合があります。その結果、訪問者・顧客・収益を失うことになりかねません。

幸いなことに、ハッカーより先に脆弱性を見つけて修正すれば、このような事態は防げます。本記事では、脆弱性を検出し、ハッキング被害を未然に防ぐための「WordPress脆弱性スキャナー」のおすすめ5選をご紹介します。

WordPressセキュリティ・マルウェアスキャナーは何をしてくれるのか？

WordPressサイトの構築と運営は決して簡単ではありません。10年以上WordPressに携わってきた経験から言えるのは、やるべき作業が非常に多いということです。そんな苦労の末に作り上げたサイトも、たった一つの脆弱性によって崩壊しかねません。

ハッカーがサイトへのアクセスに成功すると、マルウェアや悪意あるコードを注入してサイトを悪用します。その影響はウェブサイトだけでなく、訪問者・収益・ブランドの評判にも及びます。

これを防ぐには、ハッカーの動きを早期に検知し、食い止めるためのセキュリティツールが必要です。WordPressサイトにセキュリティスキャナーを導入すれば、悪意のある活動やハッキングの試みを監視できます。優れたスキャナーには次のような機能があります：

• ウェブサイトを常時監視し、すべての活動をログに記録
• 不審なアクティビティやマルウェアの有無を定期的にスキャン
• 隠蔽・偽装されたマルウェアを検出
• ハッキングの試みを検知・ブロック
• サイトの未適用アップデートを確認し、あれば通知
• 検索エンジンのブラックリスト登録状況を検出
• 監視・スキャン中でもサイトの表示速度を低下させない
• サイトのセキュリティ上の欠陥を即座に修復できる

WordPressセキュリティスキャナーは数多く存在しますが、すべてが同じ品質というわけではありません。優れた機能を備えたものもあれば、平凡なものもあります。そこで私たちは市場の各種スキャナーを実際に試し、脆弱性検出に役立つトップ5を厳選しました。

WordPress脆弱性スキャナー おすすめ5選

以下にご紹介するのは、前述の基準を満たした厳選スキャナーです。

1. MalCare

数千人のWordPress開発者や代理店から信頼され、愛用されているMalCareは、脆弱性やハッキングを簡単に検出・修復できるオールラウンド型のセキュリティプラグインです。そのセキュリティスキャナーは、人気のバックアッププラグインBlogVaultを手掛けたチームによって設計・開発されています。ハッキング攻撃を防ぎ、サイトを守るための比類なきセキュリティ機能を提供しています。

主な機能

• サイト全体の日次およびリアルタイムのセキュリティスキャン
• ハッキング攻撃をブロックする堅牢なファイアウォール
• 隠蔽・偽装されたものを含むあらゆる種類のマルウェアを検出
• 利用可能なアップデートの通知
• MalCareダッシュボードからすべてのセキュリティタスクを管理
• サイトのパフォーマンスに一切影響しないオフサイトスキャン
• マルウェアやハッキングを数分以内で即座に駆除

注目ポイント

• インテリジェントなスキャナー：多くのスキャナーは、既知のマルウェアのみを探すパターン照合やシグネチャ照合といった旧式の手法に依存しています。一方MalCareは、サイト上のコードの挙動を賢いシグナルで分析します。これにより、新種・複雑・偽装されたマルウェアであっても検出可能です。
• 完全なWordPressセキュリティスキャン：意外かもしれませんが、すべてのスキャナーがサイト全体をチェックしているわけではありません。重要なファイルやフォルダの一部だけを調べるものも多いのです。しかしハッカーは、さまざまな場所にマルウェアを隠したり偽装したりします。MalCareはサイトのすべてのファイルとフォルダをくまなく調査し、WordPressデータベースまでスキャンします。サイトにマルウェアがあれば、必ず見つけ出します。
• 脆弱性の早期発見：MalCareの早期検出テクノロジーは、サイトに損害を与える前にあらゆる種類のマルウェアを発見します。Googleによるブラックリスト登録やホストによるアカウント停止を招く前に、有害な活動を検知しましょう。
• マルウェア除去の保証：プラグインがマルウェアを検出したら、そのまま即座にサイトをクリーニングできます。MalCareは100%のマルウェア除去を保証しています。
• サイトを壊さずに動作：マルウェア除去では感染ファイルの削除が必要ですが、これによりサイトが誤作動したりクラッシュしたりすることがあります。MalCareはサイトを壊すことなく、インテリジェントにマルウェアを除去します。

デメリット

MalCareは、ローカル環境（自分のパソコン上）で構築したサイトでは動作しません。

価格

最初のWordPressセキュリティスキャンは無料です。プレミアムプランは月額8.25ドルから。

2. Sucuri

Sucuriセキュリティプラグインを使えば、新たに出現するウェブセキュリティ脅威に常に対応できます。WordPressだけでなく、MagentoやJoomla!などにも対応した徹底的なサイトチェックを提供しています。

主な機能

• 軽量でありながら強力なマルウェアスキャナー
• セキュリティの various 側面をカバーする複数のスキャナー
• ハッキングを防ぐWebアプリケーションファイアウォール（WAF）
• DDoS攻撃やブルートフォース攻撃からの保護
• ウェブサイトのブラックリスト登録状況の確認
• メール、SMS、Slack、RSSによるアラート
• CMSを問わずあらゆるサイトプラットフォームで動作

注目ポイント

• トラフィック監視：サイトを訪れるすべてのアクセスを分析し、悪意あるコードのデータベースと照合します。トラフィックの種類も分析し、プロファイルに合わない訪問者はブロックされます。
• 悪質ボットのブロック：ハッカーツールや悪質なボットが攻撃を仕掛けようとした際、Sucuriはそれを検知してサイトへのアクセスを遮断します。
• バーチャルパッチング：開発者はソフトウェアの脆弱性を発見すると、アップデートとしてセキュリティパッチをリリースします。すぐに更新できない場合、サイトはハッカーの格好の標的になります。Sucuriは現行バージョンのままパッチを適用し、こうしたハッキングを防ぎます。
• ゼロデイ攻撃の防止：開発者が認知する前に脆弱性を突く攻撃をゼロデイ攻撃と呼びます。この場合、脆弱性を修正するパッチがまだ存在しません。そんなときでも、Sucuriは不審な挙動を検知して阻止します。

デメリット

• スキャナーはシグネチャ照合方式でマルウェアを検出します。既知のマルウェアのリストと照合するため、誤検出が発生したり、新型マルウェアを見逃したりする可能性があります。
• リモートスキャナーを使用するため、サイト深部に埋め込まれたマルウェアを見逃すことがあります。

価格

Sucuriは無料のリモートサイトセキュリティチェックを提供しています。プレミアムプランは年額199ドルから。

3. Wordfence

Wordfenceは人気の高いWordPressファイアウォール兼セキュリティスキャナーで、サイトにセキュリティ上の不備がないかを確認できます。修復機能も備えていますが、簡単な自動ソリューションではありません。

主な機能

• コアファイル、テーマ、プラグインのマルウェアスキャン
• 漏洩済みパスワードによるログインのブロック
• ブルートフォース攻撃を防ぐ2要素認証
• ライブトラフィックの監視
• 悪意あるネットワーク全体や悪質ボットのブロック
• ハッキングからの復旧のためのファイル修復
• 既知のセキュリティ脆弱性に関するアラート

注目ポイント

• 広範なWordPressセキュリティスキャン：Wordfenceのスキャナーは、サイトのファイルをWordPress公式リポジトリのファイルと比較します。WordPressコア、プラグイン、テーマに加え、コンテンツ、投稿、コメントまでチェックします。
• WordPressマルウェア検出：悪意あるリダイレクト、コードインジェクション、バックドア、SEOスパムなど、さまざまな種類のマルウェアを検出します。さらに、悪質なURLも検知します。
• WordPress Central：複数のWPサイトを一箇所でスキャン・管理できます。すべてのWordPressサイトのセキュリティ状況をまとめて確認し、管理者ログイン、漏洩パスワードの使用、攻撃活動の急増などの重要なセキュリティイベントのアラートを受け取れます。
• ライブトラフィック監視：入ってくるトラフィックを監視し、ハッキングの兆候を特定します。悪意あるコードやコンテンツを含むリクエストをブロックします。

デメリット

• Wordfenceは自サイトのサーバーリソースを使ってスキャンを行うため、サイトの表示速度が低下する可能性があります。
• Sucuriと同様にシグネチャ照合方式を採用しているため、新型マルウェアを見逃すことがあります。つまり実際にはハッキングされているのに、ステータスは「クリーン」と表示される恐れがあります。

価格

Wordfenceには無料版があります。プレミアムプランは年額99ドルから。

4. WPScan

WPScanは、サイトに存在するセキュリティ問題を知らせてくれるWordPressセキュリティスキャナーです。独自のデータベースにある脆弱性情報リストと照合し、毎日サイトをチェックします。

主な機能

• WordPressコア、プラグイン、テーマの日次スキャン
• WP管理画面でのセキュリティ脆弱性評価
• 脆弱性検出時のメール通知

注目ポイント

• 非商用利用は無料：ブログ運営者やサイト所有者が費用をかけずにWordPressサイトのセキュリティをテストできるよう設計されています。
• WP管理画面からダッシュボードにアクセス：プラグインをインストールすると、WP管理画面からダッシュボードを開けます。ここでWordPressコア・テーマ・プラグインの状態を一目で確認し、脆弱性の有無を素早くチェックできます。
• 通知機能：メールアラートを設定できるので、新しい脆弱性が検出された際に即座に通知を受け取れます。

デメリット

• WPScanの導入はやや複雑です。まずAPIトークンに登録し、その後サイトにプラグインをセットアップする必要があります。

価格

WPScanは無料で利用できます。

5. Quttera

Qutteraのオンラインウェブスキャナーは、WordPressサイト上の脅威を検出します。多層的なアプローチと自己学習メカニズムに基づいた特許取得済み技術を使用しています。

主な機能

• ワンクリックスキャン
• リモートサーバーからのサイト診断
• ブラックリスト登録状況の確認
• PHPマルウェアやPHPシェルによる感染ファイルの検出
• クラウド技術
• 詳細な調査レポート

注目ポイント

• オンラインスキャナーとプラグインの両対応：Qutteraはオンラインウェブスキャナーと、サイトにインストールできるWordPressプラグインの両方を提供しています。オンラインスキャナーなら、何もインストールせずにWordPressサイトを無料でスキャンできます。継続的な監視を望む場合は、プラグインを導入しましょう。
• 詳細な調査レポート：スキャン完了後、スキャン対象ファイルに関する詳細なレポートが提供されます。ハッカーの標的にならないようサイトを守るのに役立つ、セキュリティ関連の情報も含まれます。
• 幅広い保護範囲：QutteraのWordPressマルウェアスキャナーは、トロイの木馬、バックドア、ワーム、ウイルスなど、あらゆる種類のマルウェアを検出できます。悪意あるiframe、コードインジェクション、難読化も検知します。

デメリット

• スキャンはリモートのWebサーバー上で実行されるため、結果が返ってくるまで時間がかかることがあります。
• Qutteraのスキャナーは無料サービスであるため、スキャン結果の正確性は保証されていません。

価格

Qutteraは無料で利用できます。

以上が、選択肢として検討すべきセキュリティ脆弱性対策プラグインのトップ5です。これらの便利なツールを使えば、サイトのセキュリティ脆弱性や脅威をチェックできます。

まとめ

私たちの経験上、ウェブセキュリティ対策を実施していても、脆弱性は時折サイトに現れます。これは、プラグインやテーマが時間の経過とともにセキュリティ上の欠陥を抱えることがあるためです。危険性の高いWordPressプラグインの一覧も参考にしてください。

ハッカーはそれを熟知しており、常に脆弱なWordPressサイトを探し回っています。だからこそ、オンラインセキュリティは「一度設定して終わり」ではなく、絶え間ない警戒が必要なのです。

セキュリティ管理をより簡単にするため、MalCareは24万以上のサイトを分析して設計されました。WordPressサイトで有効化すると、定期的にサイトをスキャン・監視します。マルウェアや不審なアクティビティが見つかれば、MalCareが即座に警告を発します。ワンタッチのマルウェア除去機能でサイトをクリーニングできます。

さらに、悪意のあるトラフィックを識別・ブロックし、ハッキング攻撃を防止します。MalCareは、あなたのWordPressサイトのためのオールラウンドなセキュリティソリューションとなるでしょう。

MalCareでWordPressサイトを守りましょう！