こんにちは。高知県高知市で情報処理支援機関として企業さまに伴走支援を提供している、株式会社ICUの川島です。

7月の中旬、ホームページ制作でよく使われる「WordPress」に、重大な脆弱性（ソフトウェアの弱点）が公表されました。当社では、管理しているサーバーで緊急の対応を行い、お預かりしているお客様のサイトはバージョンアップまで完了しています。当社にお任せいただいているお客様は、ご心配いりません。

WordPressは、世界中のウェブサイトの4割以上で動いています。日本ではその割合がさらに高く、CMS（自分たちでホームページを更新する仕組み）を使っているサイトの8割以上がWordPressです。関係のある会社は、とても多い。

そんな中で、こんな声を耳にしました。

「その脆弱性のニュース、まったく知りませんでした。」

責めるつもりはありません。ただ、私はこの一言に大事なことが含まれていると思っています。この機会に確かめたいことは、二つあります。自社のWordPressが直っているか。そして、次に何かあったとき、誰かが知らせてくれる状態になっているかです。

ログイン不要で乗っ取られる、WordPress本体の穴

今回見つかったのは「wp2shell」と呼ばれる脆弱性です。厄介なのは、IDもパスワードも必要なく、外部から一方的に攻撃できること。乗っ取られれば、サイトの中身を書き換えられるだけでなく、訪れたお客様にウイルスを配ってしまうこともあります。被害者から、加害者に回ります。

しかも穴が見つかったのは、後から追加したプラグイン（機能を足す部品）やテーマ（デザインの型）ではなく、WordPress本体でした。「余計なものを入れていないから大丈夫」という理屈が通じません。すでに攻撃も始まっていて、アメリカの政府機関が悪用を確認したと公表しています。

深刻さを物語るのが、WordPress側の対応です。修正版の公開と同時に、対象のサイトへ強制的に自動更新を配信しました。運営者の判断を待たずに押し込んだ形です。

直っていないかもしれない、3つのケース

WordPress側から強制的に配信されたので、気づかないうちに直っていたサイトも多いはずです。ただ、そうでない場合もあります。

一つ目は、自動更新を止めている場合です。プラグインとの相性を心配して、手動に切り替えているサイトは珍しくありません。手動にしていれば、今回のような緊急配信も届きません。

二つ目は、制作会社に任せているつもりのケースです。保守契約の中に、WordPress本体の更新まで含まれているとは限りません。契約したときにどこまでお願いしたか、はっきり思い出せる方は少ないはずです。

三つ目は、何年も更新していないケースです。こうなると、今回の脆弱性以外にも、これまで公表されてきた穴がいくつも残ったままになります。古いまま止まっているほど、塞がれていない箇所は増えていきます。

まずはバージョンを見るところから

最初にやることを一つだけ挙げるなら、バージョンの確認です。管理画面にログインし、左メニューの「ダッシュボード」から「更新」を開いてください。「最新バージョンです」と表示されていれば、今回の件は済んでいます。更新できるものが残っていれば、その場で適用しておきましょう。今回の修正版は6.8.6、6.9.5、7.0.2です。

同じ画面で、自動更新が有効になっているかも確認できます。そもそも管理画面に入れない、ログイン情報がどこにあるかわからないという場合は、更新よりも先に、管理を誰が持っているのかを確かめてください。

制作や保守を外部に任せている場合は、確認を依頼してみてください。「7月に公表されたWordPressの脆弱性の件で、うちのサイトは大丈夫でしょうか」と伝えれば、話は通じるはずです。返ってくる答えで、任せている相手がどこまで見てくれているかもわかります。試すためではなく、自社の状況を知るためです。

そのうえで考えておきたいのが、次に何かあったとき、誰が知らせてくれるかということです。こうした情報は、待っていて勝手に届くものではありません。届くとすれば、サーバー会社や制作会社など、契約している相手からです。今回どこからも連絡が来なかったのなら、その役目を担う相手が、いまはいません。

保守できる体制を、どこに置くか

ニュースを知らなかったこと自体は、悪いことではありません。経営者や担当者がすべてを追いかけるのは無理があります。ただ、社内の誰も知らず、外からも知らせが来なかったのだとしたら、ホームページの管理が宙に浮いています。

今回はWordPress側が強制的に直しに来てくれましたが、これは異例の措置でした。次も同じ対応があると考えないほうが安全です。

AIが広く使われるようになり、仕事の速度は目に見えて上がりました。ただ、同じ道具は攻める側も使っています。便利さとリスクが同じ速さで進んでいるというのが、私の実感です。ホームページは、作って終わりのものではなくなりました。持ち続ける以上、保守できる体制が要ります。

その体制を社内に置くのか、外に置くのか。どちらでも構いません。危ないのは、どちらとも決まっていない状態です。経営者が見るべきものは、他にたくさんあります。無理に抱え込まず、外部の専門性を借りるのも一つの判断だと私は思います。
必要があれば、お声がけくださいね。