WordPressにインストールするプラグインの安全性を確認する方法について詳しく解説します。
WordPress用プラグインのセキュリティリスク
確認方法① 脆弱性データベースで過去の履歴を調べる
過去にそのプラグインでセキュリティ上の欠陥（脆弱性）が発見・報告されていないかを調べます。
Patchstack Vulnerability Database や Wordfence Intelligence の検索窓にプラグイン名を入力し、検索結果を確認します。もし過去に重大な脆弱性（SQLインジェクションやクロスサイトスクリプティングなど）が報告されており、かつそれが修正されていないバージョンであれば、使用は控えるべきです。いずれも無料で検索可能です。
確認方法② インストールファイル（ZIP）をマルウェアスキャンにかける
サイトにインストールする前に、ファイル自体に悪意のあるコード（バックドアやウイルスなど）が紛れ込んでいないかを検査します。
今回は VirusTotal （Googleの親会社であるAlphabet傘下の無料オンラインスキャンサービス）というツールを使う方法を紹介します。
① WordPress公式サイトからプラグインファイル（.zip形式）をダウンロードします。
② 解凍せずに、.zipファイルのままVirusTotalの「File」タブにアップロードします。
③ 数十種類の主要なアンチウイルスエンジンがスキャンを行い、「悪意のあるコードが含まれていないか」を判定してくれます。ここで複数のエンジンから警告が出た場合はアウトです。
確認方法③ セキュリティプラグインでサイト内をスキャンする
すでにサイトにインストールしてしまった場合や、より慎重を期す場合の最終確認方法です。先ほど解説した「Wordfence」などのセキュリティプラグインをWordPressにインストールし、「マルウェアスキャン」を実行します。これにより、サイト上の全プラグインファイルが、既知のマルウェアのシグネチャ（特徴）と一致しないか自動で検査されます。
これらのチェックを行って問題が検出されなければ、当面のセキュリティリスクは低いと判断できます。しかし、マイナーなプラグインは「新しい脆弱性が発見された際に、開発者がすぐに修正版を出してくれない」という将来的なリスクを抱えているのも事実です。
関連ページ
コメント