WordPressのXSS攻撃とは?仕組み・被害・5つの対策方法を徹底解説

WordPressにおけるXSS攻撃(クロスサイトスクリプティング攻撃)は、現在のウェブ上で最も多発しているハッキング手法の一つです。この攻撃はウェブサイトの訪問者を標的とし、個人情報の窃取を狙います。最も厄介なのは、攻撃者があなたのWordPressサイトに存在する脆弱性を悪用してこれを行うという点です。

WordPressファイアウォールを導入することで、訪問者をXSS攻撃から守りましょう。

一見すると、XSS攻撃はブルートフォース攻撃やSQLインジェクションなどの他の攻撃に比べてそれほど脅威に思えないかもしれません。クロスサイトスクリプティング攻撃はJavaScriptを使って実行されますが、JavaScriptはブラウザによって厳しく制御されており、ユーザーのデバイスへのアクセスは非常に限られているはずです。実際その通りなのですが、だからといって危険性が低いわけではありません。

WordPressへのXSS攻撃は、より深刻な攻撃への入り口となるため、それ自体を重大な脅威として扱う必要があります。

要点(TL;DR): MalCareを使えば、ハッカーによる訪問者データの窃取を防げます。MalCareには統合型WordPressファイアウォールが搭載されており、サイトのXSS脆弱性を突いた攻撃を阻止します。MalCareはスキャナー、クリーナー、ファイアウォールを一体化した総合セキュリティプラグインで、WordPressを完全に守ります。

WordPressのXSS攻撃とは何か

クロスサイトスクリプティング攻撃(XSS)とは、攻撃者がウェブサイトに悪意のあるJavaScriptコードを注入する攻撃です。訪問者がそのサイトにアクセスすると、ブラウザがそのコードを実行してしまいます。ブラウザはそのスクリプトを「信頼できるソース」、つまりそのウェブサイト自体から送られたものだと認識するためです。

XSS攻撃が成立するのは、ウェブサイトにクロスサイトスクリプティング脆弱性が存在するからです。この脆弱性とは、サイトが外部からの入力を検証・チェックせずに、出力としてそのまま利用してしまうことにあります。

技術的な説明ではピンとこない方のために、XSSの仕組みを身近なたとえ話で見てみましょう。

あなたはABC社で働いており、仕事内容が書かれたフォルダを受け取ったとします。あなたはそのフォルダがABC社によって作成されたものだと信頼し、中の指示通りに作業を始めます。しかし、もしABC社が作業用フォルダを無管理の状態で放置しており、誰でも中にページを挿入できてしまうとしたらどうでしょう。ABC社は挿入されたページを確認せず、そのままフォルダをあなたに渡します。あなたは「ABC社のものだから安全だ」と思い込んでしまうのです。

ところが、攻撃者が悪意ある指示を書き込んだページを紛れ込ませていたかもしれません。ABC社はそれに気づかず、あなたも問題ないと思って指示に従ってしまいます。これは単純化したたとえ話ですが、人間なら善し悪しを見分けられるのに対し、ブラウザにはそれができない点が重要です。ブラウザは指示を文字通りに実行してしまうのです。

WordPressでXSS攻撃を受けた場合の影響

XSS攻撃の主な標的はウェブサイトの訪問者、より正確にはその情報です。XSS攻撃が成功すると、悪意のあるスクリプトは、あなたのサイトがアクセスできる範囲の訪問者のブラウザ情報すべてにアクセスできるようになります。これにはCookieやセッション情報などが含まれます。

この段階で起こり得る被害は多岐にわたります。

• ハッカーが訪問者の非公開データにアクセスし、あなたのサイト上のアカウントを乗っ取れるようになります。ここから被害は急速に拡大しかねません。
• データへのアクセスを握られたハッカーは、訪問者になりすますことができます。
• 悪意のあるスクリプトは、訪問者を別のサイトへ誘導したり、本来のサイトではないコンテンツを表示させたりできます。さらに、ページの見た目そのものを書き換えることさえ可能です。
• 最悪の場合、攻撃者はフィッシングなどのソーシャルエンジニアリング攻撃を訪問者に仕掛けることもあります。

ウェブサイト側への影響もさまざまです。ユーザーの個人情報を保存しているWordPressサイトは、ハッカーに情報を盗まれると深刻な事態に陥ります。特に、標的となったユーザーが管理者や十分な権限を持つ人物だった場合、ハッカーはその人物になりすまし、サイト全体を掌握してしまう可能性があります。

自分のサイトにXSS脆弱性があるか確認する方法

XSS脆弱性はコードの中に存在します。対象はWordPressコア、プラグイン、テーマのいずれかです。独自のコードを開発していない限り、ユーザー入力を直接扱うことはほとんどないため、入力の安全性を確保する作業は通常、サイト運営者の管轄外となります。

WordPressサイトがXSS攻撃に対して脆弱かどうかを実際に確認する唯一の方法は、XSS Hunterのようなスキャナーを使用するか、ペネトレーションテスター(侵入テスト専門家)に依頼することです。

ただし、だからといって訪問者を潜在的なXSS脆弱性から守れないわけではありません。WordPressファイアウォールを導入すれば攻撃を遮断でき、訪問者の保護に大きく役立ちます。

加えて、インストール済みのプラグインやテーマにも注意を払いましょう。いずれかにXSS脆弱性が公表された場合は、速やかにアップデートしてください。MalCareなら毎日自動でサイトをスキャンするため、脆弱なプラグインやテーマが発見された際も、ダッシュボードから安全にアップデートできます。

XSS攻撃でマルウェアを仕込まれた場合は?

XSS攻撃の標的は一見サイト訪問者ですが、その中にはサイト管理者も含まれます。サイトにクロスサイトスクリプティング脆弱性があり、管理者アカウントが侵害された場合、サイトのセキュリティ全体が突破されたと考えるべきです。

個人データの窃取に加えて、XSS攻撃はリモートコード実行(RCE)など、他の攻撃の踏み台としても使われます。

つまり、WordPressへのXSS攻撃がすぐにマルウェア感染につながるわけではありませんが、念には念を入れるのが賢明です。サイトにマルウェアが存在することが判明したら、直ちに対処しましょう。

サイトをスキャンする

サイトに本当にマルウェアが潜んでいるかを知る唯一の方法はスキャンです。スキャンの方法はいくつかありますが、効果はそれぞれ異なります。

セキュリティスキャナーでディープスキャンを行い、サイトやデータベース内の微小なマルウェアの痕跡まで検出することをおすすめします。これがマルウェアの有無を確定させる最も確実な方法です。結果が出たら、「ハッキングされたWordPressサイトの対処ガイド」を参考に駆除を進めましょう。

WordPressのXSS対策:XSS攻撃を防ぐ5つの方法

WordPressのクロスサイトスクリプティング脆弱性はコードの中にあるため、サイト管理者が直接取り除くことは困難です。しかし、訪問者をXSS攻撃から守るためにできることは確かにあります。

1. Webアプリケーションファイアウォール(WAF)を導入する

絶えず進化する脅威に対しては、ファイアウォールが最強の防御手段になります。ファイアウォールには特別なルールが備わっており、XSS攻撃特有の不審な文字列を含むリクエストを検出・遮断します。

2. すべてのプラグインとテーマを最新に保つ

WordPressのセキュリティ脆弱性は、プラグインやテーマで日常的に発見されています。責任感のある開発者はセキュリティパッチをリリースし、サイトを危険にさらさないようにしています。パッチが公開されると同時に、脆弱性を発見した側がその情報を公表するため、パッチを適用していないサイトはハッカーの格好の標的になってしまうのです。

3. 信頼できるWordPressセキュリティプラグインを導入する

標的が管理者だった場合、XSS攻撃はサイト運営者にとって非常に危険です。XSSはログイン認証情報の窃取に悪用され、その後サイトにマルウェアを感染させることがあります。優れたセキュリティプラグインなら、ユーザーの不審なアクティビティを監視し、毎日のスキャンでマルウェアを素早く特定できます。

4. WordPressハードニングを実施する

WordPressハードニングとは、サイト全体のセキュリティを強化するための一連の施策です。中でも特におすすめしたいのは二要素認証(2FA)です。XSS攻撃最大の危険性はログイン認証情報とIDの窃取にあるため、二要素認証は盗まれた認証情報の不正利用防止に大きく貢献します。XML-RPCの無効化など、その他のハードニング施策も実施する価値があります。

5. 最小権限の原則をユーザーに適用する

万が一ユーザーアカウントがXSS攻撃で侵害されても、そのユーザーがサイト上で持つ権限が限られていれば、被害の規模も抑えられます。

WordPress開発者の方は、必ずユーザー入力をサニタイズ(無害化)してください。サイトはすべての入力に対して悪意あるコードが含まれていないかをチェックし、特に画面に出力する前には必ず検証を行うべきです。

WordPressのXSS攻撃の仕組み

XSS攻撃は「注入」と「被害発生」の2段階で進行します。

まず、ハッカーが脆弱なサイトに悪意のあるJavaScriptコードを注入します。注入手法はいくつかあり、次のセクションで詳しく解説します。次に、訪問者がそのサイトにアクセスすると、ブラウザはそのコードを「サイトの一部」だと判断して実行してしまいます。

その結果、ハッカーはサイトから見える訪問者の全データ(Cookie、セッション情報、ログイン情報など)にアクセスできるようになり、フィッシングやCookie窃取など、さらなる攻撃に利用できます。

これはあなたのWordPressサイトと何の関係があるのか?

この時点では、問題は訪問者とそのブラウザ側にあるように見えます。しかし、それは正確ではありません。ブラウザは、コードが信頼できるサイトの一部だと判断しなければ実行しません。訪問者が閲覧しているのがあなたのサイトなら、その「信頼できるサイト」とはあなたのサイトなのです。

XSS攻撃が成立するのは、サイトにXSS脆弱性がある場合だけです。つまり、ユーザー入力を一切チェック・検証せずに受け入れている状態です。そのような場合にのみ、攻撃者は問題なくJavaScriptをサイトに注入できます。

具体例を見てみましょう。

あるWordPressブログで、管理者が読者に記事へのコメント投稿を許可したいと考え、コメント管理用のプラグインを導入しました。

読者はプラグインが提供するテキストフィールドにコメントを入力して送信します。誰でもコメントを書いてサイトのデータベースに送れる仕組みです。ここまでは正常です。

問題が生じるのは、悪意ある人物がコメントにスクリプトを混ぜ込んだときです。入力内容は例えば次のようなものになります。「このケーキレシピ最高! <script> //悪意あるコード </script>」scriptタグで囲まれた部分には、他の訪問者に作用するよう設計された悪意あるJavaScriptが含まれています。

プラグインはコメントを単なるテキストだと想定し、スクリプトの有無をチェックしません。そして、そのままの形でデータベースに保存します。これこそがXSS脆弱性です。

その後、別の訪問者がブログページにアクセスすると、ブラウザはページとコメントを読み込みます。データベースには全コメントが保存されているため、新しい訪問者のブラウザに送信されます。しかし、コメントの一つにJavaScriptが含まれているため、ブラウザは「このコードは実行すべきものだ」と判断して実行します。サイトの一部だと信じ込んでいるからです。実際にはそうではありません。サイト側はそれをテキストとして保存していたのに、ブラウザはスクリプトとして実行してしまう。これがXSS攻撃の仕組みです。

もしプラグインがコメントをデータベースに保存する前に悪意あるコードをチェックしていれば、サイトにXSS脆弱性は存在せず、ブラウザにJavaScriptが届くこともなく、訪問者のデータは安全に保たれたはずです。

クロスサイトスクリプティング攻撃の種類

クロスサイトスクリプティング攻撃は、コードがどこに保存され、どこで実行されるかによって分類されます。主な種類は格納型(Stored/持続型)、反射型(Reflected)、DOMベース型の3つです。ただし、これらは排他的ではなく、複数のタイプが組み合わさることもあります。それぞれの特徴と相互関係を理解しておくことは有用です。

• 格納型XSS(Stored XSS): 前述のコメントの例では、コメントはサイトのデータベースに送信され、そこに保存されました。訪問者がアクセスするたびに、そのデータがブラウザへ送られます。コードがデータベースに保存されているため、すべての訪問者に送信されることになります。これが「格納型」または「持続型」と呼ばれる理由です。
• 反射型XSS(Reflected XSS): 反射型XSSは少し理解が難しいタイプです。訪問者自身が、本人は気づかないうちに悪意あるコードをサイトへ送信してしまうためです。
  
  攻撃者はメールや第三者サイトなどを通じて、あなたのサイトへのリンクを訪問者に送りつけます。そのリンクには悪意あるコードが埋め込まれており、訪問者がクリックすると、そのコードがあなたのサイトへ送信されます。サイトにXSS脆弱性があるということは、こうしたユーザー入力の悪意あるコードをチェックしていないということです。そのため、サイトがレスポンスを訪問者のブラウザに返す際、悪意あるコードも一緒に含まれてしまいます。訪問者のブラウザはそれをサイトの一部と判断して実行し、攻撃者は訪問者の情報へアクセスできるようになるのです。

格納型と反射型のどちらの場合も、ウェブサイト自体が攻撃に関与しています。悪意あるコードは実際にWebサーバーやデータベースに入り込み、そこから訪問者へ送り返されます。違いは、コードをサイトに送るのが攻撃者なのか、訪問者自身なのかという点だけです。

• DOMベース型XSS: DOMベース型の場合、コードはそもそもサイトに送信されません。反射型XSSのように悪意あるコードが訪問者へ送られることはありますが、サイト経由ではなく、ブラウザが直接コードを実行します。
  
  これはサイトの脆弱性ではないように思えるかもしれませんが、実際には脆弱性です。悪意あるスクリプトはサイトに送られず、訪問者のブラウザ内にとどまります。訪問者のブラウザがサイトサーバーにリクエストを送ると、サーバーのレスポンスはブラウザ内に既に存在するユーザー入力を利用します。このケースでは、その入力こそが悪意あるコードなのです。

XSS攻撃の種類についてさらに詳しく知りたい方は、専用の解説資料をご参照ください。

とはいえ、XSS攻撃の種類を過度に心配する必要はありません。クロスサイトスクリプティング脆弱性を能動的に解消できる立場にある人はほとんどいないからです。発見される前にすべてのプラグインやテーマを精査するのは現実的ではありません。重要なのは、脆弱性が発見されたら速やかにアップデートすることです。

ファイアウォールを導入すれば、訪問者をクロスサイトスクリプティング攻撃から守れます。これが悪意あるコードに対する唯一の現実的な防御策です。

まとめ

WordPressへのXSS攻撃は非常に一般的で、サイト訪問者を標的にデータを窃取します。責任あるサイト管理者として、訪問者を危害から守りたいはずです。WordPressファイアウォールの導入は、そのために非常に有効な手段となります。MalCareは高度なWordPressファイアウォールであり、優れたセキュリティプラグインです。脆弱性スキャナーとマルウェアスキャナーにより、マルウェアの悪影響を迅速かつ効果的に軽減できます。

よくある質問(FAQ)

WordPressはXSSに対して脆弱ですか?

はい、WordPressはXSS攻撃に対して脆弱です。プラグインやテーマだけでなく、WordPressコアファイルにも多くのXSS脆弱性が発見されています。責任感のある開発者はこれらの脆弱性を迅速に修正し、ソフトウェアをアップデートすることで、ハッカーに悪用されないようにしています。

クロスサイトスクリプティング(XSS)とは何ですか?

クロスサイトスクリプティング(XSS)とは、悪意あるスクリプトをブラウザ上で実行させ、ブラウザのセッションCookieをハッキングして機密性の高いデータを盗むサイバー攻撃です。巧妙に使われると、パスワードや金融情報まで盗まれる可能性があります。強力なファイアウォールを使わない限り、WordPressへのXSS攻撃を防御するのは非常に困難です。

WordPressでXSSを防ぐにはどうすればよいですか?

WordPressでXSS攻撃を防御する最も簡単な方法は、悪意あるトラフィックを効果的に遮断できるファイアウォールを導入することです。さらに、典型的なハッキング手法への耐性を高める「ハードニング」も併せておすすめします。