WordPress（ワードプレス）を利用しているものの、「使用しているプラグインに脆弱性がないか」「現在のサイトが安全な状態なのか分からない」と不安に感じている方も多いのではないでしょうか。
WordPressでは、本体だけでなくプラグインやテーマにも脆弱性が発見されることがあります。また、PHPのバージョンや管理者アカウント、ファイルの権限設定など、アップデート以外にも確認しておきたいポイントがあります。
救急WEBでは、WordPressサイトの脆弱性診断を無料で実施しています。
自動診断ツールだけで判定するのではなく、WordPressの専門家がサイトの状態を確認し、8項目の診断結果をレポートにまとめてご報告します。
診断の結果、脆弱性や改善が必要な箇所が確認された場合は、問題点と推奨する対応方法をご案内します。
弊社でアップデートや修正をご希望の場合のみ、事前にお見積もりをご案内します。ご承諾いただく前に有料作業を行ったり、料金を請求したりすることはありません。
1サイトの無料WordPress脆弱性診断を実施しました。
- WordPressの脆弱性診断では何を確認するのか
- 救急WEBの無料診断で確認する8項目
- 無料の自動診断ツールと専門家による診断の違い
- 診断結果のレポートで確認できる内容
- 脆弱性が見つかった場合の対応方法
- 無料診断で確認できる範囲と確認できない範囲
- WordPressの脆弱性を放置した場合に考えられるリスク
WordPressの脆弱性診断を無料で実施しています
救急WEBでは、WordPressサイトを対象とした脆弱性診断を無料で実施しています。
WordPress本体のバージョンだけを確認する簡易的なチェックではなく、プラグイン・テーマ・PHP・管理者アカウント・セキュリティ設定・ファイルなど、複数の観点から確認します。
診断結果は、問題が確認された箇所や推奨する対応方法が分かるよう、レポートにまとめてご報告します。
サービス概要
| 診断料金 | 無料 |
|---|---|
| 対象 | WordPressサイト |
| 診断者 | WordPressの専門家 |
| 診断項目 | 8項目 |
| 診断結果 | レポートでご報告 |
| 問題が見つかった場合 | 問題箇所と推奨する対応方法をご案内 |
| 修正・アップデート | ご希望の場合のみ別途お見積もり |
診断だけのご依頼でも問題ありません。
診断後に有料サービスへ申し込む必要はありません。
WordPressの脆弱性診断とは？
WordPressの脆弱性診断とは、WordPressサイトに攻撃の原因となる既知の脆弱性や、セキュリティ上改善した方がよい設定がないか確認することです。
WordPressというと、本体のアップデートだけを確認すればよいと思われることがありますが、実際にはプラグインやテーマ、PHPなどにも脆弱性が発見されることがあります。
また、管理者アカウントの状態やファイルのパーミッション、不要な情報が公開されていないかなど、バージョン以外にも確認すべきポイントがあります。
なお、「脆弱性が確認された」ということと、「すでに不正アクセスされている」ということは同じではありません。
脆弱性は攻撃に悪用される可能性のある弱点であり、見つかった場合は内容を確認したうえで、必要なアップデートや設定変更を行うことが重要です。
無料WordPress脆弱性診断で確認する8項目
救急WEBの無料WordPress脆弱性診断では、次の8項目を確認します。
| 診断項目 | 主な確認内容 |
|---|---|
| ① WordPress本体 | バージョン・既知の脆弱性・更新状況 |
| ② プラグイン | バージョン・既知の脆弱性・開発状況など |
| ③ テーマ | 使用テーマ・バージョン・既知の脆弱性など |
| ④ PHP・サーバー環境 | PHPバージョン・HTTPS・公開設定など |
| ⑤ 管理者・ログイン設定 | 管理者ユーザー・ログイン関連設定など |
| ⑥ セキュリティ設定 | XML-RPC・デバッグ設定・不要な情報公開など |
| ⑦ 改ざん・マルウェア感染の兆候 | 不審ファイル・コアファイルの改変・不正コードなど |
| ⑧ ファイル・フォルダの権限 | 主要ファイル・フォルダのパーミッションや権限設定 |
① WordPress本体の脆弱性
現在利用しているWordPress本体のバージョンを確認し、既知の脆弱性が報告されていないか、必要なアップデートが適用されているかを確認します。
WordPress本体にセキュリティアップデートが提供されているにもかかわらず、古いバージョンを使用し続けている場合は、更新を推奨します。
② プラグインの脆弱性
インストールされているプラグインについて、現在のバージョンや既知の脆弱性を確認します。
また、長期間更新されていないプラグインや、開発が終了している可能性のあるプラグイン、停止したままサーバー上に残っているプラグインなども確認します。
WordPressでは、プラグインが原因となる脆弱性もあるため、重要な診断項目の一つです。
③ テーマの脆弱性
現在使用しているテーマや親テーマについて、バージョン・更新状況・既知の脆弱性を確認します。
使用していないテーマが多数残っている場合や、長期間アップデートされていないテーマについても確認します。
有料テーマの場合は、ライセンス切れによって最新版へ更新できないケースもあるため注意が必要です。
④ PHP・サーバー環境
WordPress本体が新しい状態でも、PHPのバージョンが古いまま使用されている場合があります。
PHPのバージョンやサポート状況、HTTPSの状態、不要なサーバー情報が公開されていないかなどを確認します。
PHPを更新する場合は、使用しているテーマやプラグインとの互換性も確認する必要があります。
⑤ 管理者アカウント・ログイン設定
WordPress管理画面に登録されているユーザーやログイン関連の設定を確認します。
身に覚えのない管理者ユーザーや、すでに使用していない管理者アカウントなどが残っていないかを確認します。
また、ユーザー登録設定やログイン周辺のセキュリティ設定についても確認します。
⑥ WordPressのセキュリティ設定
WordPressの設定や公開状態について確認します。
例えば、XML-RPC、デバッグ情報の公開、不要なファイルや情報が外部から確認できる状態になっていないかなどを確認します。
セキュリティ対策は、単にプラグインを導入すれば完了するものではなく、サイトの利用状況に合わせた設定が重要です。
⑦ ファイル改ざん・マルウェア感染の兆候
WordPressの主要ファイルやサイト内に、不自然な変更や不審なファイルがないかを確認します。
WordPressコアファイルの改変、不審なPHPファイル、難読化されたコード、不自然な.htaccessなど、一般的な改ざんやマルウェア感染の兆候を確認します。
なお、無料診断はすべてのマルウェアやバックドアの存在を完全に保証するものではありません。
感染が疑われる場合は、より詳細な調査が必要になる場合があります。
⑧ ファイル・フォルダの権限設定
WordPressの主要なファイルやフォルダについて、パーミッションが必要以上に緩く設定されていないか確認します。
パーミッションはサーバー環境によって適切な設定が異なるため、単純に特定の数値だけで判定するのではなく、利用しているサーバー環境も考慮して確認します。
自動診断ツールだけでなくWordPressの専門家が確認します
WordPressの脆弱性を調べる方法として、URLを入力するだけで利用できる無料の自動診断ツールもあります。
自動診断ツールには、短時間で簡単に確認できるというメリットがあります。
一方、外部から取得できる情報だけでは、管理画面内の設定や使用しているすべてのプラグイン、管理者アカウント、ファイルの状態、パーミッションなどを十分に確認できない場合があります。
救急WEBでは、自動判定だけで完結させるのではなく、WordPressの専門家がサイトの構成や設定を確認したうえで診断します。
| 一般的な自動診断 | 救急WEB | |
|---|---|---|
| WordPress本体 | ○ | ○ |
| プラグイン・テーマ | △ | ○ |
| 管理者・ログイン設定 | △ | ○ |
| ファイル・権限設定 | △ | ○ |
| 診断結果 | 自動表示 | レポートで報告 |
※自動診断ツールによって確認できる範囲は異なります。
診断結果はレポートでご報告します
無料診断の結果は、確認して終わりではありません。
どの項目に問題があるのか、どの程度注意が必要なのか、どのような対応を推奨するのかを分かりやすくまとめ、レポートとしてご報告します。
レポートでは、例えば次のような形で診断結果をお伝えします。
| 診断項目 | 判定 | 確認内容 | 推奨対応 |
|---|---|---|---|
| WordPress本体 | 問題なし | 重大な問題は確認されませんでした | 継続して更新 |
| プラグイン | 要対応 | 既知の脆弱性を確認 | 最新版への更新を推奨 |
| PHP | 注意 | 古いPHPバージョンを使用 | 互換性確認後の更新を推奨 |
WordPress無料脆弱性診断の流れ
STEP1 無料診断をお申し込みください
お問い合わせフォームより、脆弱性診断をご希望のWordPressサイトについてご連絡ください。
STEP2 診断に必要な情報をご案内します
8項目を確認するため、WordPress管理画面やサーバー内を確認するための情報をご案内します。
必要な情報については、サイトの環境に合わせて個別にご案内します。
STEP3 WordPressの専門家が診断します
WordPress本体・プラグイン・テーマ・PHP・管理者・セキュリティ設定・改ざんの兆候・ファイル権限の8項目を確認します。
STEP4 診断結果をレポートでご報告します
診断した内容を整理し、問題点や推奨する対応方法をレポートでご報告します。
STEP5 必要な場合のみ修正・アップデートをご案内します
脆弱性などが確認され、弊社での対応をご希望の場合は、必要な作業内容と料金を事前にお見積もりします。
診断後に有料作業を依頼する必要はありません。
脆弱性が見つかった場合はどうなる？
診断の結果、WordPress本体・プラグイン・テーマなどに既知の脆弱性が確認された場合は、該当する箇所と推奨する対応方法をご案内します。
例えば、脆弱性のあるプラグインについて修正版が公開されている場合は、最新版へのアップデートをご案内します。
ただし、WordPressでは単純に最新版へ更新すると、テーマや他のプラグインとの互換性によって不具合が発生する場合があります。
そのため、サイトの構成によってはバックアップや動作確認を行ったうえで更新する必要があります。
弊社で更新・修正をご希望の場合は、事前に作業内容と料金をお見積もりします。
お見積もりへのご承諾なく、有料作業を行ったり料金を請求したりすることはありません。
脆弱性が見つからなかった場合もそのままご報告します
無料診断を行ったからといって、必ず問題が見つかるわけではありません。
診断の結果、現時点で確認できる既知の脆弱性や重大な問題が見つからなかった場合は、その結果をそのままレポートでご報告します。
有料サービスへのお申し込みを前提とした無料診断ではありません。
現在のWordPressサイトの状態を確認する目的だけでもご利用いただけます。
無料診断で確認できること・確認できないこと
WordPressのセキュリティに「絶対に安全」という状態はありません。
無料脆弱性診断では、今回ご案内している8項目を中心に、現在確認できる既知の脆弱性や設定上の問題などを確認します。
一方、未知の脆弱性や、あらゆる攻撃方法を完全に確認できるものではありません。
| 無料診断で確認する内容 | 無料診断の対象外となる内容 |
|---|---|
| WordPress・プラグイン・テーマの既知の脆弱性 | 未知のゼロデイ脆弱性の完全な検出 |
| PHP・WordPress設定 | 独自開発プログラムの完全なソースコード監査 |
| 管理者・ログイン設定 | 本格的なペネトレーションテスト |
| 一般的な改ざん・マルウェア感染の兆候 | すべてのバックドア・マルウェアが存在しないことの保証 |
| ファイル・フォルダの権限設定 | 将来の不正アクセスが発生しないことの保証 |
WordPressの脆弱性を放置するとどうなる？
WordPressやプラグインなどに脆弱性が存在していても、すぐにサイトへ異常が発生するとは限りません。
しかし、脆弱性が攻撃者に悪用された場合、さまざまな被害につながる可能性があります。
例えば、不正な管理者ユーザーを追加されたり、マルウェアやバックドアを設置されたりするケースがあります。
また、サイト内に大量の不正ページを作成される、海外サイトへ勝手に転送される、サイトの内容を改ざんされるといった被害につながることもあります。
企業サイトの場合は、サイト停止だけでなく、利用者や取引先からの信用にも影響する可能性があります。
そのため、脆弱性が確認された場合は、危険度やサイトへの影響を確認したうえで、必要な対応を行うことが重要です。
WordPressでよく見つかる問題
WordPressサイトでは、次のような問題が見つかることがあります。
- WordPress本体が古い
- プラグインに既知の脆弱性がある
- 長期間更新されていないプラグインが残っている
- 使用していないプラグイン・テーマが残っている
- PHPが古い
- 不要な管理者ユーザーが残っている
- セキュリティ設定が十分でない
- ファイルやフォルダの権限が必要以上に緩い
- 不審なファイルが存在する
一見問題なく表示されているサイトでも、管理画面やサーバー内を確認すると改善した方がよい箇所が見つかることがあります。
WordPress脆弱性診断についてよくある質問
WordPressの脆弱性診断は本当に無料ですか？
はい。救急WEBの8項目のWordPress脆弱性診断と診断結果レポートを無料で実施しています。
診断後に有料サービスを申し込む必要がありますか？
いいえ。診断だけでも問題ありません。
脆弱性や改善箇所が見つかり、弊社で修正やアップデートをご希望の場合のみ、別途お見積もりをご案内します。
WordPressのプラグインも診断できますか？
はい。
インストールされているプラグインのバージョンや既知の脆弱性、更新状況などを確認します。
テーマの脆弱性も確認できますか？
はい。
現在使用しているテーマや親テーマについて、バージョンや既知の脆弱性などを確認します。
他社が制作したWordPressサイトでも診断できますか？
はい。他社で制作されたWordPressサイトでも診断可能です。
サイトの構成によって確認方法が異なる場合がありますので、まずはお問い合わせください。
診断にはWordPressのログイン情報が必要ですか？
8項目を詳しく確認するため、WordPress管理画面やサーバー内を確認するための情報をご提供いただく場合があります。
必要な情報については、お申し込み後にサイト環境を確認したうえでご案内します。
診断結果はどのようにもらえますか？
確認した内容をまとめた診断レポートとしてご報告します。
問題が見つかった場合は、問題箇所だけでなく、推奨する対応方法についてもご案内します。
脆弱性が見つかった場合、修正もお願いできますか？
はい。
WordPress本体・プラグイン・テーマ・PHPなどのアップデートや修正をご希望の場合は、必要な作業内容を確認したうえでお見積もりします。
脆弱性診断をすればWordPressは完全に安全になりますか？
いいえ。
脆弱性診断は、現在確認できる既知の脆弱性や設定上の問題などを確認するものです。
未知の脆弱性や将来発見される脆弱性もあるため、診断後もWordPress本体・プラグイン・テーマなどを継続して適切に管理することが重要です。
救急WEBについて
救急WEBでは、WordPressのトラブル対応を中心に、マルウェア駆除、エラー対応、WordPress保守、アップデート、サーバー移行などを行っています。
WordPressの脆弱性は、単に「危険です」と判断するだけではなく、実際のサイト構成や利用しているテーマ・プラグインを確認したうえで、どのように対応するかを判断することが重要です。
無料脆弱性診断では、WordPressの専門家がサイトの状態を確認し、診断結果を分かりやすくレポートでご報告します。
まとめ
WordPressの脆弱性は、WordPress本体だけでなく、プラグイン・テーマ・PHP・管理者アカウント・各種設定・ファイル権限など、さまざまな箇所に存在する可能性があります。
救急WEBでは、WordPressの専門家が以下の8項目を無料で診断します。
- WordPress本体
- プラグイン
- テーマ
- PHP・サーバー環境
- 管理者アカウント・ログイン設定
- WordPressのセキュリティ設定
- ファイル改ざん・マルウェア感染の兆候
- ファイル・フォルダの権限設定
診断結果はレポートでご報告します。
脆弱性が見つからなかった場合はその旨をお伝えし、問題が確認された場合は必要な対応方法をご案内します。
修正やアップデートをご希望の場合のみ別途お見積もりしますので、「現在のWordPressサイトが安全な状態なのか確認したい」という方もお気軽に無料診断をご利用ください。