最近攻撃を受けた脆弱なWordPressプラグイン8選【早急なアップデートを】

脆弱性のあるWordPressプラグインによって、あなたのウェブサイトが危険にさらされていることをご存じでしょうか?

実は、脆弱なプラグインはWordPressサイトがハッキングされる最大の原因です。WordPressに対する攻撃の55.9%は、脆弱なプラグインが起因となっています。

では、プラグインの使用を完全にやめるべきなのでしょうか?しかし、プラグインはサイトに機能や特徴を追加する重要な存在であり、WordPressサイトの構築・運営においてプラグインなしで運用するのは現実的ではありません。

幸いにも、プラグインを使いながらサイトの安全性を保つ方法はあります。プラグイン開発者は脆弱性を発見すると、すぐに修正してアップデート版をリリースします。プラグインを最新版に更新すれば、安全に使用できるのです。ところが、何百万人ものWordPressユーザーがアップデートを先送りにし、その結果、サイトをハッカーの脅威に晒し続けています。

サイトがハッキングされると、ハッカーは機密データの窃取、迷惑な広告の表示、サイトの改ざんなど、さまざまな悪意ある行為を行えるようになります。ハッキングはビジネスに壊滅的な打撃をもたらし、広告アカウントの停止、訪問者や顧客の流失、収益の減少につながりかねません。

だからこそ、脆弱なプラグインとそのセキュリティ問題について学ぶことが非常に重要なのです。本記事では、WordPressサイト所有者の間で実際に使われている、特に脆弱性の高いプラグインをご紹介します。

要点: WordPressプラグインの脆弱性からサイトを守るには、新バージョンが公開されたら速やかにアップデートすることが不可欠です。MalCareのようなセキュリティプラグインを使えば、一元化されたダッシュボードからアップデート状況を管理でき、一括更新も可能になるため、管理が格段に楽になります。

WordPressプラグインはなぜ脆弱になるのか?

まず知っておくべきなのは、WordPressプラグインの多くはWordPress公式チームではなく、サードパーティの開発者が作成しているという点です。ほとんどのプラグインはWordPress公式ディレクトリで入手できますが、CodeCanyonなどの人気マーケットプレイスや、プラグイン独自のサイトで配布されているものもあります。

現在、5万以上のWordPressプラグインが存在し、毎日新しいものが生み出されています。開発者たちは、特に有料プラグインについては安全性を確保するために丁寧に管理・メンテナンスを行っています。

こうしたプラグインは一定のガイドラインに従っているため、ユーザーにとって安全であるはずです。しかし、開発者は製品の機能強化を続けており、新機能のリリースに追われる中で、開発過程でのセキュリティ上の欠陥を見落とすことがあります。その結果、製品が脆弱な状態になってしまうのです。

ハッカーが脆弱性を発見すると、それを悪用してさまざまな攻撃を実行できます。例えば以下のようなものがあります。

• 訪問者を未知の他サイトへリダイレクトさせる
• スパム広告やコンテンツをサイトに注入する
• wp-feed.phpマルウェアなどのマルウェアを設置して、さらなる攻撃の足がかりにする
• 不正な管理者アカウントを作成する
• サーバーリソースを利用してDDoS攻撃を仕掛けたり、スパムメールを送信したりする

このような攻撃を受けると、サイトの動作が極端に遅くなり、SEOランキングも低下します。ビジネス、収益、そして評判まで深刻な被害を受けることになりかねません。

脆弱なプラグインはウェブサイトハッキングの最大の要因であるため、どのプラグインが特に脆弱なのか、そしてどんな対策があるのかを把握しておくことが大切です。

注意: もしあなたのWordPressサイトでこれから紹介するプラグインを使用している場合は、ハッキング攻撃を回避するため、直ちに最新バージョンへアップデートすることを強くお勧めします。

最近攻撃された脆弱なWordPressプラグイン8選

過去には、NextGen Gallery、Yoast SEO、Ninja Formsなど多くの人気WordPressプラグインが攻撃を受けてきました。ここでは、ハッカーによって最近悪用された脆弱なWordPressプラグインに焦点を当ててご紹介します。

1. Duplicator(WordPress移行プラグイン)

Duplicatorは主に移行用途のプラグインで、WordPressのバックアップにも使えます。ユーザーはWordPressサイトのバックアップを作成してダウンロードしたり、別のドメインやホストへサイトを複製・移行したりできます。アクティブインストール数は100万件を超える人気プラグインです。

最近、このプラグインに「任意ファイルダウンロード」と呼ばれる脆弱性が発見されました。この脆弱性により、攻撃者はプラグインがインストールされたWordPressサイトのコンテンツをエクスポートでき、機密ファイルのダウンロードやデータベース認証情報の窃取も可能でした。これにより、ハッカーはサイトに侵入して乗っ取り、さらに攻撃を拡大することができたのです。

開発者はこの脆弱性を検知し、2020年2月にDuplicator バージョン1.3.28およびDuplicator Pro バージョン3.8.71として緊急のセキュリティアップデートを迅速にリリースしました。

ウェブセキュリティ専門家によると、50万人以上のユーザーが依然として脆弱なバージョンを使用しており、未だアップデートをしていないとのことです。

2. ThemeGrill Demo Importer

ThemeGrillは、プロフェッショナルな外観のサイトを構築できる無料・有料のレスポンシブテーマを提供しています。

ThemeGrill Demo Importerプラグインを使うと、ThemeGrillの公式テーマをWordPressダッシュボードに直接インポートできます。コンテンツ、ウィジェット、テーマ設定のインポートも可能です。アクティブインストール数は20万件を超えています。

しかし、このプラグインの脆弱性により、ハッカーが管理者アカウントを乗っ取ることが可能になりました。ハッカーはあなたを自分のサイトから締め出し、サイトを完全に消去することさえできたのです。

ThemeGrillの開発者は2020年2月にバージョン1.6.3で迅速にパッチをリリースしました。

3. Profile Builder

Profile Builderを使えば、顧客があなたのサイト上でアカウントを作成できるようになります。フロントエンドのログインフォームや登録フォームを作成でき、顧客が自分のアカウントをカスタマイズできるプロフィールフォームも備えています。

このプラグインにはFree、Pro、Hobbyistの3つのバリエーションがあり、ProとHobbyistは有料版です。Proは無制限のWordPressサイトで使用でき、Hobbyistは単一サイトでのライセンスとなります。

無料版のアクティブインストール数は5万件超、Pro版とHobbyist版を合わせると約1万5千件のインストール数があります。

2020年2月、このプラグインのすべてのバリエーションに影響する重大な脆弱性が発見されました。プラグインのバグにより、ハッカーがWordPressサイトに権限のない管理者アカウントを登録できる状態だったのです。これにより、ハッカーは不正な管理者アカウントを作成し、サイトを完全に掌握することが可能になりました。

この脆弱性はバージョン3.1.0以前の全バージョンに影響し、バージョン3.1.1でセキュリティパッチがリリースされました。

4. Flexible Checkout Fields For WooCommerce

これはWooCommerce用のアドオンプラグインで、チェックアウトフィールドをカスタマイズできます。チェックアウトページのデフォルトフィールドを編集し、独自のラベルに変更できるのが特徴です。アクティブインストール数は2万件を超えています。

Flexible Checkout Fieldsプラグインは開発者によって丁寧にメンテナンスされ、定期的にアップデートされています。

しかし、このプラグインの脆弱性がハッカーによって積極的に悪用される事態が発生しました。この脆弱性により、ハッカーはWordPressサイトに悪意あるコードを注入でき、不正なWP管理者アカウントの作成、データの窃取、管理者ユーザーの締め出しなど、あらゆる活動が可能になっていました。

開発者は2020年2月25日にバージョン2.3.2および2.3.3で迅速にセキュリティパッチをリリースしました。以降もプラグインは何度も更新されており、必ず最新版へアップデートすることを強くお勧めします。

5. ThemeREX Addons

ThemeREX Addonsは、ThemeREXが制作したさまざまなテーマの companion(コンパニオン)プラグインとして設計されています。テーマの機能を拡張する多数の機能やウィジェットを備え、約4万4千のWordPressサイトにインストールされています。

ハッカーはこのプラグインの脆弱性を見つけ、同プラグインを使用しているサイトへの攻撃を開始しました。こちらでも、プラグインの弱点を突いて新しい管理者アカウントを作成することが可能でした。

ThemeREXは迅速にアップデートをリリースしましたが、ThemeREX Addonsの更新はやや複雑です。このプラグインはWordPress公式ディレクトリに登録されていないため、WordPressダッシュボード上ではアップデート通知が表示されません。プラグインやテーマのアップデート情報を受け取るには、ThemeREXのニュースレター購読が必要です。

さらに、ThemeREX Addonsは多数のテーマにバンドルされています。そのため、ThemeREXのテーマをインストールしたサイト所有者の多くは、このプラグインがパッケージの一部として自動的にインストールされていることに気づいていない可能性があります。

もしThemeREXのテーマを使用しているなら、必ず最新バージョンへアップデートしてください。ThemeREXアカウントからプラグインを更新できます。難しい場合は、ThemeREX Updaterプラグインのインストールが必要になることもあります。詳細はThemeREXにお問い合わせください。

6. Async JavaScript

Async JavaScriptプラグインはページの読み込み時間を短縮し、ページ速度とユーザー体験を向上させます。WordPressサイトはPHP、CSS、JavaScriptなど複数のコーディング言語で構成されていますが、このプラグインはサイト上でJavaScriptを読み込む方法を最適化します。アクティブインストール数は10万件を超えています。

このプラグインの脆弱性により、ハッカーがリモートで攻撃を実行できる状態でした(関連記事: クロスサイトスクリプティング(XSS)攻撃とは)。これにより、ハッカーが機密情報を盗んだり、サイトの外観を改ざんしたり、訪問者を騙してマルウェアをダウンロードさせたり個人情報を漏洩させたりする恐れがありました。

開発者は既存の問題をすべて修正し、追加のセキュリティ対策も講じてプラグインを強化しました。執筆時点で最も安全なバージョンはバージョン2.20.03.01です。

多くの場合、WordPress開発者がサイト構築時にこのプラグインを導入しますが、クライアント側はサイトにこのプラグインが存在することを知らないこともあります。幸い、このプラグインはWordPress公式ディレクトリにあるため、ダッシュボードにアップデート通知が表示されます。

7. Modern Events Calendar Lite

このイベントカレンダープラグインを使えば、WordPressサイトでのイベント管理が簡単になります。レスポンシブかつモバイルフレンドリーなインターフェースを備え、洗練されたデザインのイベントカレンダーを簡単に表示できます。Modern Events Calendar Liteは無料で利用でき、アクティブインストール数は4万件を超えています。

2020年2月、このプラグインに脆弱性が発見され、ハッカーがWordPressサイトにマルウェアを注入して、サイトの外観改ざんや機密データの窃取といったさらなる攻撃を実行できる状態になりました。

バージョン5.1.6までの全バージョンが脆弱でした。開発者は直ちにパッチをリリースし、以降も何度もプラグインを更新しています。

このプラグインを使用している場合は、できるだけ早く最新バージョンへアップデートすることを強くお勧めします。

8. 10Web Map Builder for Google Maps

10Web Map Builder for Google Mapsプラグインは、WordPressサイトに地図を簡単に追加できるツールです。強力な機能とカスタマイズ性を備え、アクティブインストール数は2万件を超える人気プラグインとなっています。

最近、このプラグインのセットアップ処理に脆弱性が発生しました。これにより、ハッカーはWordPressサイトに悪意あるスクリプトを注入できるようになり、管理者だけでなくサイト訪問者をも攻撃の標的にできました。

開発者は2020年2月にバージョン1.0.64をリリースしました。このプラグインがサイトにインストールされている場合、最新版へアップデートすれば、このインジェクション脆弱性は修正されます。

もしプラグインの脆弱性が原因でサイトがハッキングされた場合は、「ハッキングされたWordPressサイトの復旧方法」に関するガイドを参考にしてください。

以上が、最近攻撃されたプラグインの一覧です。ただし、このリストがすべてではありません。10年以上にわたるWordPressの運用経験から言えるのは、プラグインには時折セキュリティ脆弱性が生じるということです。脆弱なプラグインによる攻撃を防ぐ最善策は、新バージョンが公開され次第、すぐにアップデートすることです。忘れずに、WordPressコア本体とテーマも同様に更新してください。

まとめ

WordPressプラグインには脆弱性が頻繁に発生しますが、ほとんどの開発者は素早く対応し、修正を行っています。その後の責任は、サイト所有者であるあなたにあります。プラグインを直ちに最新バージョンへ更新しましょう。

定期的なアップデートを続ければ、ハッカーを寄せ付けず、サイトの安全性を確保できます。とはいえ、アップデートの管理は容易ではなく、複数サイトを運営していると管理が煩雑になりがちです。ぜひ「WordPressサイトを安全にアップデートする方法」ガイドもご一読ください。

MalCareでは、複数のWordPressサイトを運営する方のアップデート管理の負担を理解しています。そこで私たちのプラグインMalCareは、すべてのアップデートを一元管理できる集中ダッシュボードを提供します。さらに、WordPressセキュリティプラグインとして、サイトをハッキングの試みから守ります。

今すぐMalCareセキュリティプラグインを試してみましょう!