【2022年4月】WordPressのセキュリティ情報やお役立ち情報

WordPress 5.9.3はバグフィックスを中心としたメンテナンスリリース

4月初旬にWordPress 5.9.3がリリースされました。
今回のリリースはバグフィックスが中心となっており、コアに関する9個のバグとブロックエディッタに関する10個のバグの修正が行われています。

WordPressは定期的に上記のようなメンテナンスリリースが公開されています。

今回のようなバグフィックスのリリースではなく、セキュリティフィックス中心のリリースも度々行われており、サイト運営者側がメンテナンスを怠ることが原因でハッキング被害が起こることもあります。
WordPressで作ったサイトはセキュリティ面で不安があるといった声もありますが、こうしたリリースに注目することで被害に遭いにくくすることができます。

可能であれば更新内容を確認して、アップデートすることを推奨します。

WordPress 5.9.3 Maintenance Release

Webサイト4月CMSシェア報告

Q-Successの調査にて2022年4月のWebサイト向けCMS (Content Management System)のシェア率が発表されました。
WordPressが数ヶ月ぶりにシェア率を落とし、WixとSquarespace、Adobe Systemsのシェア率が上がった結果となっています。

WordPressがFSE（フルサイト編集）を導入したように、ノーコードでのサイト制作を求める流れか、今後の動きに注目です。

• None（不明）：3月　33.5％ → 4月　33.3％（0.2％DOWN）
• WordPress：3月　43.3% → 4月　43.0%（0.3％DOWN）
• Shopify：3月　4.4% → 4月　4.4%（-）
• Wix：3月　2.0% → 4月　2.2%（0.2％UP）

※Q-Successは、上位1000万のWebサイト(2013年6月までの上位100万)を調査対象とし、Alexaによって提供されたWebサイトの人気ランキングの3カ月の平均順位を用いています。

4月Webサイト向けCMSシェア、WixとSquarespaceが成長 | TECH+

脆弱性報告

2022年3月末〜4月に発見された脆弱性を紹介致します。

Elementor Website Builder

Elementorが提供するWordPressのデザインを制御できるプラグイン「Elementor Website Builder」にて、ログイン可能なユーザーであれば管理画面における任意の機能を利用できる脆弱性「CVE-2022-1329」が明らかとなりました。

• CVSSv3.1スコア：9.9（緊急）
• 対象バージョン：3.6.0 〜 3.6.2

リモートより悪意あるファイルをアップロードされ、任意のコードを実行される恐れがあります。

現地時間4月12日にて、脆弱性が修正された「3.6.3」がリリースされています。
最新版としては「3.6.4」が提供されていますので、対象バージョンを利用されている方は早急にアップデートしましょう。

Advanced Custom Fields / Advanced Custom Fields Pro

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は3月30日にWordPress 用プラグイン Advanced Custom Fields における認証欠如の脆弱性について発表しました。

CVSSv3.1スコアは6.5（警告）となっていますが、データベース上のアクセス権限のないデータを閲覧される恐れがあります。
ユーザー権限があることが前提ですが、ユーザー権限を乗っ取られている危険性を含んでいます。

• CVSSv3.1スコア：6.5（警告）
• 対象バージョン：5.12.1 未満

対象バージョンを利用されている方は開発者が提供する情報をもとに、最新版へアップデートしましょう。

アクセスしてきたユーザーを詐欺サイトにリダイレクトするWordPress向けマルウェア蔓延中

WordPress向けのセキュリティソリューションを提供しているSucuriが4月3日（現地時間）、公式ブログ「WordPress Popunder Malware Redirects to Scam Sites」にて、WordPress で作成されたWebサイトに対してアクセスしたユーザーを詐欺サイトにリダイレクトするマルウェアが蔓延しているとして警告されました。

このマルウェアは2021年3月に検出され、現在の合計で1万7,000サイト以上、2022年に入ってから3,000サイト以上の感染が確認されています。

テーマ内のfooter.phpファイルに挿入され、感染されたファイルは長い空行の後、JavaScriptでリダイレクト用のコードが記述されてしまうようです。

特定のプラグインやテーマが感染源となっているわけではなく、侵害された管理者アカウントを使用し、組み込みのファイルエディタ機能で挿入している可能性が高いとSucuriは分析しています。

Sucuriはwp-adminの管理者パネルを保護するためにWordPressのセキュリティを確認することを推奨しています。

WordPress Popunder Malware Redirects to Scam Sites

WordPress保守・運用のパートナーなら「wp.support」にお任せ！

WordPressサイトを運用していて、以下のようなお悩みはありませんか？

• 管理画面を使いやすくしたいけれど、カスタマイズする時間や技術がない…
• サイトのUI/UXを改善したいけれど、自社内では難しい…
• WordPressサイトを高速化したいけれど、ノウハウがない…
• セキュリティ対策をしたいけれど、知識のある人材がいない…
• 日々の業務に追われて、バージョンアップなどの保守業務が放置気味…
• ちょっとしたトラブルを気軽に相談できる相手が欲しい…

「wp.support」は、WordPressのプロフェッショナル集団によるWordPress保守サービスです。
「セキュリティ対策」「バージョンアップ対応」「定期バックアップ」はもちろん、「電話サポートが無制限」なのでカスタマイズの方法やトラブル発生時にも気軽にプロに相談できます。

既に導入済みのお客様からも、
「些細なことでも気軽に相談できるパートナー的な存在」
「困ったら相談していいんだ、と気持ちが楽になった」
と大変ご好評をいただいています。

WordPress保守・運用のパートナーをお探しなら、ぜひお気軽にお問合せください。

>> wp.supportに無料相談する