初心者向け基本のセキュリティ約8分

プラグイン・テーマの安全な管理

この教材でわかること：WordPressなどのCMSで使う拡張機能（プラグイン・テーマ）が、なぜ脆弱性の見つかりやすい場所になっているのか、そして安全に管理するための基本的な考え方です。

プラグイン・テーマとは

WordPressのようなCMS（コンテンツ管理システム）は、本体に機能を追加する「プラグイン」や、見た目を変える「テーマ」を組み合わせて使うのが一般的です。問い合わせフォーム、SEO対策、ECカート機能など、サイトに必要な機能の多くは、本体ではなくプラグインによって提供されています。

プラグインが特に狙われやすい理由

セキュリティ企業Patchstackが公開した2024年の調査（「State of WordPress Security in 2024」）によれば、同社のデータベースに登録された脆弱性5,948件のうち、約97%がプラグインで見つかったものでした。WordPress本体で見つかった脆弱性はごく一部（同資料では13件）にとどまっています。これは、世界中の開発者が作る数万点以上のプラグインの中には、セキュリティの作り込みが本体ほど厳密でないものや、開発・更新が止まってしまったものが含まれているためです。

このニュース記事でも紹介した「PublishPress Revisions」の脆弱性のように、利用者数の多いプラグインであっても脆弱性が見つかることがあります。「有名なプラグインだから安全」とは限りません。

安全に管理するための基本

1. 本体・プラグイン・テーマをまとめて更新する

WordPress公式のドキュメントも、常に最新版を使うことを基本として案内しています。本体だけを更新していても、プラグインやテーマが古いままでは、そこから侵入されるおそれがあります。更新時に通知が来るよう設定し、気づいたら早めに適用することが大切です。多くのレンタルサーバー・管理サービスには自動更新の機能もあります。

2. 更新前にはバックアップを取る

更新作業によってサイトの表示が崩れることもあるため、更新前にはバックアップを取り、問題があれば元に戻せる状態にしておきます。バックアップの考え方は教材「バックアップの重要性と頻度」で解説しています。

3. 使っていないプラグイン・テーマは削除する

無効化してあるだけで削除していないプラグイン・テーマも、サーバー上にファイルが残っていれば攻撃の対象になることがあります。使っていないものは、無効化だけでなく削除しておきましょう。

4. 開発が止まっているプラグインに注意する

長期間更新されていないプラグインは、新しいWordPress本体のバージョンとの相性が悪くなったり、見つかった脆弱性が直らないまま放置されたりするリスクが高まります。WordPress公式ディレクトリのプラグインページでは、最終更新日や対応バージョンを確認できます。自分で確認できない場合は、管理会社に確認してもらいましょう。

何をすべきか（まとめ）

本体・プラグイン・テーマの更新頻度と、現在の更新状況を管理会社に確認する
更新前のバックアップが取られる運用になっているか確認する
使っていないプラグイン・テーマを削除してもらう
長期間更新が止まっているプラグインがないか、確認してもらう

これらの確認項目は、教材「制作会社に確認すること」のチェックリストにも含めて使えます。

参考にした公開情報

この教材は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。個別のサイトの安全を保証するものではありません。