WordPressの脆弱性を約50項目を1～2分で診断　無料プラグインに新機能

PHPやWordPressの脆弱性への対策として、WordPress保守サービスを提供する企業が、無料のWordPressセキュリティプラグインに約50項目の脆弱性診断機能を追加した。診断は通常1～2分で完了し、結果はPDF形式で保存できる。

公開 2026年11月02日 07時00分

[キーマンズネット]

印刷する連載新着通知を受け取る Googleで優先するソースとして追加

　PHPやWordPress本体、プラグイン、テーマの脆弱（ぜいじゃく）性を悪用した改ざんや不正アクセスの被害が後を絶たない。公開から年月が経過したWebサイトは、更新が停止したプラグインや、放置された設定上の不備などが、サイバー攻撃の侵入口となるリスクが高まる。

　こうした背景を受けて、WordPress保守サービス「WPセンター」はWordPress.org公式プラグインディレクトリで無料公開しているセキュリティプラグイン「CenterShield」に約50項目の脆弱性診断機能を追加した。

管理画面から1～2分で検査　深刻度と優先度を提示

　管理画面の「脆弱性診断」から「今すぐ診断する」をクリックするだけで、通常1～2分で検査が完了する。診断では、公開ファイルやユーザー名、HTTPSの設定状況、既知の脆弱性、各種設定の不備など、9分野・約50項目をチェックする。

　外部のサーバから対象となるサイトにアクセスするのではなく、対象サイトが稼働するサーバ自身がアクセスして自動的に検査する。データの書き換えや攻撃用の値の送信は実施しない。

　診断では、ログイン画面の保護や2要素認証の設定状況をはじめ、XML-RPCやREST APIの公開状態、SSL証明書の有効期限、古い暗号方式の使用、Cookieの設定なども確認する。さらに、WordPress本体やプラグイン、テーマ、JavaScript、PHPに関する脆弱性やサポート状況に加え、サイトの改ざん検知やメール認証、サーバ設定まで幅広く点検する。

　結果は深刻度別の件数や分野別の判定、指摘一覧で示す。深刻度は国際標準指標「共通脆弱性評価システム」（CVSS）v3.1の点数を基に、JVN（Japan Vulnerability Notes）と同じ区分の「緊急」「重要」「警告」「注意」に「情報」を加えた5段階で示す。各指摘にはCVSSスコアと対処の優先度を付け、「早期対応」などの総合評価を表示する。診断結果は報告書番号付きで保存され、履歴の確認や印刷、PDF保存にも対応する。利用回数に制限はない。

　既知の脆弱性情報は、「Wordfence Intelligence」およびCVEの情報を基に判定する。ただし、診断で問題が検出されなかった場合でも、サイトの安全性が保証されるわけではない。独自に設置した問い合わせフォームやサーバ、ネットワークなど、プラグインによる診断の対象外となる領域については、必要に応じて専門家への相談を案内している。

　CenterShieldは、ログイン試行制限、2要素認証、管理画面のIPアドレス制限、設定ファイルへのアクセス制御、簡易WAF、マルウェアスキャンなどの機能を備える。改ざん検知や不正ファイルの隔離、公式原本からの復元にも対応する。対策は6領域に分け、一括適用か個別設定を選べる。診断で見つかった指摘の多くは、同じプラグインの設定を有効にすることで対処できる。

　有効化直後は全設定が無効で、利用者が選択するまでは.htaccessへの書き込みやスキャン予約は実施しない。.htaccessのルールは適用前に確認用フォルダで試験をして、サーバが受け付けない内容は自動的に除外する。画面や検査結果は日本語で表示する。全ての設定項目に「何のための対策か」「有効にすると何が変わるか」を記載するため、専門知識がなくても必要な対策を選べる。

　サイトコンテンツや投稿データ、ユーザーデータ、URLなどは外部へ送信せず、脆弱性情報とマルウェア定義を取得してサイト内で照合する。WPセンターのサーバにも導入済みプラグインの一覧は送らない。対応環境はWordPress 5.8以降、PHP 7.4以降で、GPLのオープンソースとして公開する。

　専門業者の診断は数十万円規模に達する場合があり、継続利用の負担が課題だった。WPセンターによると、既存のセキュリティプラグインを導入しても「各設定が何をしているのか分からない」「脆弱性のチェックは有料プランでしか使えない」と悩む企業は多いという。

　同社は、被害を未然に防ぐ基本的な対策が費用や専門知識を理由に後回しにされる状況を変えたいと考え、診断を含めて無料で公開することにしたと語っている。

印刷する