コア更新だけでは不十分！WordPressプラグイン・テーマのセキュリティ対策【選び方と注意点】

こんにちは！合同会社エーデルハーツの代表、矢部です。埼玉県川越市からWordPressのセキュリティに関する情報をお届けしています。

これまでのシリーズ（第1回〜第3回）では、WordPress本体（コア）のバージョンアップがいかに重要か、そして近年のバージョンでどのようなセキュリティ強化が行われてきたかを見てきました。しかし、残念ながらWordPressコアを常に最新に保っているだけでは、サイトの安全は保証されません。

WordPressサイトがハッキングされる原因を調査すると、多くの場合、問題は導入している「プラグイン」や「テーマ」の脆弱性に起因しています。今回はシリーズ第4回として、このプラグインとテーマのセキュリティに焦点を当て、安全な選び方から日々の運用における注意点までを解説します。

なぜプラグインとテーマが狙われるのか？

WordPressの魅力はその拡張性の高さにあり、プラグインやテーマによって様々な機能やデザインを実現できます。しかし、それらは同時にセキュリティ上のリスクポイントにもなり得ます。

第三者による開発コード: プラグインやテーマの多くは、WordPressコア開発チームとは別の第三者（企業や個人開発者）によって作られています。開発者のスキルやセキュリティ意識にはばらつきがあり、意図せず脆弱性が作り込まれてしまうことがあります。
膨大な数と多様性: 公式ディレクトリだけでも数万のプラグイン・テーマが存在し、さらに有料のものや独自開発のものを含めると無数にあります。攻撃者は、広く使われているものや、管理が不十分なものの脆弱性を常に探しています。
開発の中断・放置: 残念ながら、開発が途中で中断されたり、長期間更新されずに放置されたりするプラグインやテーマも少なくありません。これらは発見された脆弱性が修正されないまま残り続けるため、非常に危険です。

「更新」はコアと同じくらい重要！

WordPressコアと同様に、プラグインやテーマの開発者も、バグ修正や機能改善、そしてセキュリティ脆弱性の修正のためにアップデートを提供します。特に、脆弱性の修正が含まれるアップデートは、情報が公開されるとすぐに攻撃の対象となる可能性があるため、可能な限り迅速に適用する必要があります。

WordPressにはプラグインやテーマの自動更新機能もあります。これを有効にしておけば、セキュリティアップデートを見逃すリスクを減らせます。ただし、稀にアップデートによって他のプラグインやテーマとの互換性の問題（不具合）が発生することもあるため、自動更新を利用する場合でも、定期的なバックアップとサイトの動作確認は不可欠です。

安全なプラグイン・テーマを選ぶためのチェックポイント

新たにプラグインやテーマを導入する際には、以下の点を慎重に確認しましょう。

信頼できる入手元か？ (公式 vs マーケットプレイス vs 不明)

最も安全なのはWordPress公式ディレクトリ（wordpress.org）から入手することです。基本的なガイドラインやセキュリティチェックが行われています。信頼できる有料テーマ・プラグインのマーケットプレイス（例: ThemeForest, Envato Marketなど）も選択肢ですが、開発元が不明なサイトや個人から配布されているもの、特に無料と謳う非正規ルートのものは避けるべきです。

最終更新日とWordPress互換性は？ (放置されていないか)

「最終更新日」は非常に重要な指標です。数ヶ月、あるいは1年以上更新されていないものは、開発が止まっているか、セキュリティへの配慮が十分でない可能性があります。また、現在使用しているWordPressのバージョンに対応しているかも必ず確認しましょう。

開発者の評判とサポート体制は？ (レビューやフォーラム)

公式ディレクトリやマーケットプレイスのレビュー、評価、サポートフォーラムでの開発者の対応などを確認しましょう。活発にサポートが行われ、ユーザーからの報告に誠実に対応している開発者のものは、信頼性が高いと言えます。

人気と利用者数は？ (参考情報として)

多くの人に使われているプラグインやテーマは、問題が発見されやすく、修正も比較的早い傾向があります。ただし、人気があるからといって絶対に安全とは限りません。あくまで参考情報の一つと捉えましょう。

過剰な機能や権限を要求していないか？

必要としている機能に対して、あまりにも多機能すぎるものや、不必要に高い権限（例：サーバー情報の表示など）を要求するものは、潜在的なリスクを抱えている可能性があります。シンプルな機能で十分な場合は、多機能なものより単機能で信頼できるものを選びましょう。

【要注意】「Nulled」版（海賊版）は絶対NG！

有料のプラグインやテーマを不正にコピーし、「無料」または格安で配布している「Nulled」版（海賊版）には絶対に手を出してはいけません。これらにはほぼ確実にマルウェアやバックドアが仕込まれており、サイトを乗っ取るために配布されています。一時的なコスト削減のために、計り知れない損害を被ることになります。

リスクを最小限に抑える運用術

「少ないことは良いことだ」: 機能を追加したい気持ちは分かりますが、プラグインやテーマは本当に必要なものだけに絞り込みましょう。導入する数が増えれば増えるほど、管理の手間と脆弱性のリスクは高まります。
使わないものは削除する: テストで入れただけ、今はもう使っていないプラグインやテーマは、「停止」にするだけでなく、必ず「削除」しましょう。停止中のものでも、ファイルが存在するだけで脆弱性を悪用される可能性があります。
定期的な見直し: 半年に一度など、定期的にインストール済みのプラグイン・テーマを見直し、本当に必要か、最終更新日はいつかなどをチェックする習慣をつけましょう。