WordPress本体に悪用済みの脆弱性。7.1.2などで修正、自動更新が届いたか管理画面で確認を

01発表されている事実

WordPressは前後にも修正を出しています。9月17日の7.1.1では11件、10月6日の7.1.3では7件のセキュリティ修正がありました。7.1.3の修正は、4.7系までの各系列に順次届けるとしています。

02影響を受ける人

WordPressでサイトを運営しているすべての会社と個人です。とくに上のテーマを使っているサイトは、条件を満たす可能性が高くなります。WordPressは、自動バックグラウンド更新が有効なサイトには自動で更新が始まるとしています。ただし、自動更新を止めている、古い系列のまま使っている、サーバーの設定で更新が失敗している、といったサイトには届いていないことがあります。

03今すぐやること

1. バージョンを確かめる。管理画面の［ダッシュボード］→［更新］で、今のバージョンが分かります。7.1系なら7.1.3、ほかの系列でも、その系列の最新版になっているか確かめます。
2. 届いていなければ更新する。同じ画面の「今すぐ更新」を押します。更新の前にバックアップを取ります。
3. 使っているテーマを確かめる。［外観］→［テーマ］で有効なテーマを見ます。上に挙がったテーマを使っている場合は、更新を最優先にします。
4. レンタルサーバーの「WordPress自動更新」を確かめる。サーバー会社の管理画面で、自動更新を止めていないかを見直します。
5. サイトを人に任せている場合は、制作会社や保守会社に、更新した日とバージョンを確かめてください。

04同じことを防ぐには

本体の自動更新は「少なくともマイナー更新は有効」にしておくのが基本です。使っていないテーマやプラグインは削除します。今回のように更新までの数日が危ない場面では、サイトの手前で攻撃を止めるWAFが時間を稼ぎます。図鑑の「WAF」の分類で、レンタルサーバーでも使えるものを比べられます。自社で改修を重ねたサイトは、定期的な「脆弱性診断」も検討してください。