WordPress ウェブサイトを持つことは素晴らしいですが、デジタル世界では常に「善人」と「悪人」の間で戦いが繰り広げられています…映画のプロットみたいですが、これは現実です！ 善人 – セキュリティ研究者と開発者 – はあなたのウェブサイトを安全に保ちたいと思っています。悪人 – ハッカーとスパマー – はそれを違法に悪意ある目的で利用しようとしています。
もっと深く掘り下げてみましょう…
「ウェブサイトへの攻撃は 39 秒ごとに発生し、WordPress の脆弱性の 98% はプラグインに関連しています」
あなたがこの記事を読んでいる間も、どこかの攻撃者がプラグインの脆弱性を悪用して WordPress ウェブサイトに不正アクセスしようとしています。
2019 年 4 月、善人であるセキュリティ研究者たちが WP Live Chat Support プラグイン における持続的クロスサイトスクリプティング (XSS) 脆弱性を発見しました。これは悪人であるハッカーたちにこの脆弱性を悪用し、ウェブサイトに悪意あるスクリプトを注入してサイトを制御するきっかけを与えました。 WP Live Chat Support プラグイン は、エンゲージメントとコンバージョンを目的とした完全機能のライブチャットサポートプラグインの無料代替品です。このプラグインは 60,000 以上のアクティブインストール があり、数千人のユーザーがリスクにさらされていました。
この脆弱性とは何か、あなたにどう影響するか？
WP Live Chat Support プラグインの脆弱性により、攻撃者はターゲットウェブサイトでクロスサイトスクリプティング (XSS) 攻撃を実行できるようになりました。
XSS 攻撃では、ハッカーがあなたの知らないうちにあなたのウェブサイトに悪意あるスクリプトやコードを注入します。このコードは、ユーザーデータを収集したり (うーむ!)、ウェブサイトのコンテンツを変更したり、別の侵害されたウェブページにユーザーを送信したりする可能性があります。ハッカーがウェブサイトのサーバーに保存されている部分 (例: ユーザーコメント) にコードを注入できた場合、それは 持続的 XSS になります。
「持続的」と呼ばれるのは、ユーザーが感染したウェブページを読み込むたびにブラウザがその悪意あるコードを実行し、攻撃が完了するためです。
検索エンジン、特に Google はサイトのセキュリティを非常に重視しています。したがって、このような脆弱性は SEO に非常に悪い影響を与えます。それだけでなく、ユーザー間の信頼問題も生じます。最悪の場合、スパムリンクやマルウェアがサイトにあるために、ウェブサイトへのアクセスを失ったり、ウェブホストからサスペンドされたりする可能性さえあります。
この脆弱性が大問題なのは、認証を必要とせず、感染したウェブサイトにアカウントを持たないユーザーでも悪用できるからです。 認証不要であるため、攻撃を自動化して大量のサイトに影響を与えるのが容易になります、この場合 60,000 以上!
攻撃の仕組み
この攻撃は、保護されていない「admin_init フック」が原因で可能になります。ここからほとんどの攻撃者が攻撃を開始し、WordPress プラグイン攻撃ではかなり一般的です。
まずフックの意味を理解しましょう。フックとは、あるコードが別のコードと相互作用し、変更するための手段です。WordPress は通常、誰かがサイトの管理ページを訪れたときにこのフックを呼び出します。開発者はこのフックを使って、その時点でさまざまな関数を呼び出すことができます。問題は、このフックが認証を必要とせず、管理 URL を訪れた誰でもそれを使ってコードを実行できることです。WP Live Chat の admin フックは wplc_head_basic というアクションを呼び出しますが、これはユーザーの権限をチェックせず、単にプラグイン設定を更新します。
ハッカーはこの欠陥を利用して、ライブチャットウィンドウが表示されるたびにプラグインが表示するコンテンツを制御する wplc_custom_js という JavaScript オプションを更新できます。考えてみてください – ライブチャットウィジェットはユーザーがあなたのウェブサイトのほぼすべてのページを訪れるたびに追従するため、ハッカーにとってこのメソッドを使って複数のページをターゲットにするのは朝飯前です！
では、どうすればサイトをこの脅威から守れるか？
WP Live Chat Support プラグインの開発者たちが この脆弱性を修正するパッチをリリースしました。したがって、ウェブサイトがハッキングされるのを防ぐ最善の策は、最新バージョンに更新することです。
WP Live Chat Support プラグインを最新バージョンに更新することが、ウェブサイトがハッキングされるのを防ぐ最善の策です。 Click To Tweet
8.0.27 以降のバージョンは安全ですが、それでも最新バージョンに頻繁に更新することをお勧めします。最新バージョンは 8.0.33 で、こちらから入手できます。
将来的にサイトを安全に保つには？
ステップ 1: プラグインとテーマは信頼できるソースからのみ入手！
プレミアムプラグインをウェブサイトやトレントファイルから無料で入手したくなりますよね？ プレミアム機能と、どれだけお金が節約できるか考えて… でも、本当に節約できるんでしょうか？
信頼できないソースからプラグインをダウンロードすると、マルウェアやウイルスに感染しているリスクも受け入れることになります。プレミアムプラグインで数ドル節約できても、ウェブサイトの復旧に数千ドル費やすことになるかもしれません、それが可能だとしても。したがって、常に信頼できるソース、できれば認証済みの会社からプラグインをインストールし、専門家やコミュニティメンバーによって悪意あるコードがないか検証済みか確認してください。
信頼できる WordPress マーケットプレイスのプラグイン:
- WordPress
- CodeCanyon
- PickPlug-ins
- Mojo Marketplace
- MyThemeshop
- Themeisle
- ThemeForest
ステップ 2: 信頼できるセキュリティプラグインを入手する
WordPress にはすべてのウェブサイトに対してかなり効果的なセキュリティシステムが備わっています。しかし、上記のような脆弱性はすべてのセキュリティチェックをすり抜け、あなたのサイトに脅威を与える可能性があります。したがって、セキュリティプラグインは不可欠です。
セキュリティプラグインに関しては、疑わしい攻撃後に脆弱性をスキャンするだけでなく、常にサイトが安全で安心であることを積極的に保証するプラグインを選ぶのが望ましいです。マルウェアスキャン、マルウェア除去、WordPress ファイアウォール、ウェブサイト管理… これらすべてを 1 つにまとめ、手頃な価格で 24/7 の保護を提供するプラグインが必要です！
MalCare はまさにこれらのことを念頭に開発されたプラグインで、あなたのウェブサイトの防御が常に万全であることを保証します。
MalCare が提供するもの…
マルウェアスキャン:
MalCare は 100 以上のシグナルを使用してウェブサイトをスキャンし、シグネチャ検証を超えています。 これにより、市場に出回っている他のどのプラグインよりもマルウェアを正確に特定できます。どのデータベースにもシグネチャが存在しない未知のマルウェアでさえ特定できます。
MalCare はあなたのサイト全体と同期し、24 時間 365 日、あらゆる変更を追跡します。 許可されていない変更は正確な場所まで追跡され、マルウェアの発生源を特定するのに役立ちます。 サイトを 24/7 監視していても、MalCare は自社のサーバー上ですべてのファイルをスキャンするため、あなたのサーバーにゼロ負荷です。 私たちと一緒ならあなたのウェブサイトは決して遅くなりません！
設定でスケジュールを指定するだけで、MalCare に日次自動スキャンを実行させることができます。また、いつでも 無制限のオンデマンドスキャン を実行し、マルウェアが見つかった場合は即座に通知を受け取ることもできます。
ウェブサイトが感染しているという通知を受け取って怖い思いをしたのに、実は誤検知だったということがどれほど恐ろしくイライラするか、私たちは理解しています。MalCare はこれもケアします。業界最低レベルの誤検知… つまり、徹底的なチェックの後でのみ通知します。
マルウェア除去:
MalCare の ワンクリックマルウェア除去 で、あなたのサイトは 60 秒以内に マルウェアフリーになります！
MalCare はマルウェアを除去する際、あなたのウェブサイトに影響を与えません。 ファイルが感染している場合、MalCare は 感染した部分のみを知的に除去し、あなたのデータをそのまま残します。 MalCare がバックエンドで猛烈に働いてマルウェアを除去していても、あなたのウェブサイトがダウンすることはありません。
一度 MalCare が特定のマルウェアを特定して除去すると、それが二度とあなたのサイトを感染させることはありません。永遠に。 保証します。あなたの体が一度水疱瘡にかかれば二度とかからないように、MalCare も同様の攻撃やマルウェアが戻ってきてもウェブサイトを守る方法を知っています。将来の攻撃から免疫を獲得できます。
WordPress ファイアウォール:
悪者を外に追い出し、良いインターネットトラフィックだけを中に入れられたら素晴らしいと思いませんか？ MalCare ファイアウォールはまさにそれを実現し、さらに多くのことをします！
このファイアウォールは、ネットワーク内の既知の悪意ある IP アドレスのリストと照らし合わせて、着信ウェブトラフィックを 24/7 追跡し、危険な IP があなたのサイトにアクセスするのをブロックします。 攻撃者があなたのウェブサイトにアクセスできなければ、攻撃するのは困難になります。 地理的ブロッキング (geo-blocking) もサポート しており、追加の保護が可能です。 MalCare では CAPTCHA ベースのログイン保護 も提供しており、ブルートフォース攻撃からウェブサイトを守ります。 MalCare が疑わしいログインを検知すると、即座に通知されるため、適切な対応が可能です。
また、二要素認証 (2FA) もあり、適切なパスワードとコードなしでは誰もあなたのウェブサイトにアクセスできません。
ウェブサイト管理:
すべてのプラグインを最新バージョンに保つことは不可欠です。私たちが見たように、WordPress Live Chat Support プラグインの脆弱性から身を守る最もシンプルな解決策は、開発者がパッチをリリースしたらすぐに更新することでした。 MalCare の管理ツールは、すべてのウェブサイトのテーマとプラグインを一括更新 します。 WordPress コアマネージャー を使えば、コアの変更、WordPress のアップグレード、ウェブサイトの PHP バージョン確認が可能です。
また、クライアントにアクセス権を与えたいがサイトの機能をいじられたくない場合、MalCare の管理ツールで 特定のユーザー役割とアクセス権限を割り当て ることができ、誰も意図しない変更ができないようにします。 チームメンバーとクライアントをすべてのウェブサイトに簡単に追加 できます。
さらに、MalCare なら無制限のウェブサイトを管理できます。
それだけでなく、サイトの稼働時間を監視 し、Slack でダウンタイムアラートを受け取り、ウェブサイトのパフォーマンスチェック も実行できます。 優れたオンデマンドおよびスケジュール済み クライアントレポート機能で、データをまとめてインサイトを一元化し、時間を節約 できます。
これらすべてを一元化されたダッシュボードからコントロールできます！
ウェブセキュリティにおいて妥協は許されません。あなたのウェブサイトはデジタル世界でのあなたのアイデンティティだからです。マルウェア、ウイルス、ハックなど、あらゆるものから害を受けないよう注意を払うべきです。 MalCare は、現在および将来のあらゆる脅威からあなたのウェブサイトを守ります。 月額わずか $8.25 から の世界クラスのセキュリティを手に入れましょう！ 上記のすべての機能が、あらゆるプランで無料で利用できます。
MalCare はあなたのサイトを 24/7 あらゆる脅威から守ります。
