SUCURi WordPressがハッキングされる理由を解説！
こんにちは！ ゴンタです。
sucuri.netというウェブサイトセキュリティとウェブサイトパフォーマンスの向上に特化したセキュリティプラットフォームおよびウェブセキュリティ企業 b/a Sucuri は GoDaddy Driving Company, LLC の子会社のブログでWordPressのハッキングされる理由を解説しています。
August 24, 2023に上記のSUCURi公式BlogにてRIANNA MACLEODさんがWordPressのハッキングの話題が多いことについて、セキュリティ企業として様々な見解をもとに考えると、WordPress自体がハッキング（クラッキング）が非常に多いCMSプラットフォームなのではなく、CMSのっ絶対的シェアが多いことから、その一部がハッキングされた場合に絶対数が大きくなるため、セキュリティに甘いWordPressのように感じるものだと書いています。
その記事を参考にゴンタが記事にまとめてみました。
WordPressはWebサイトの43％で使用されている。
RIANNA MACLEODさんの記事によると、WordPressのCMSは世界中のWebサイトの43％以上で使用されており、事実上CMSプラットフォームではシェアNo.1のWordPressという事になります。
これだけのシェアがあるという事は、そのすべてがハッキングされているわけではなく、WordPressの管理をしているWeb所有者の設定ミスや、セキュリティに対しての考えの甘さなどが原因で43％の一部でWordPressでのせきゅり的問題が起きているために、「WordPressはハッカーが狙いやすいCMS」として話題になってしまうとのことです。
ようは、WordPress自体が危険なわけではなく、セキュリティ対策を万全に施さないWordPress所有者（Webサイト）が原因であって、実際はWordPressはきちんと正しく設定し、運用すればセキュリティ的には日々パッチが当てられいて比較的安全なものであることがわかります。
ハッキング（クラッキング）するハッカーは安全性の低いWebサイトを常に様々な独自ツールを使って探しており、そのターゲットになったWebサイトへ様々な攻撃を行うもので悪意のあるものです。
ブラック ハット SEOについてもRIANNA MACLEODさんが記事を書いていますので、興味があれば読んでみてください。
 |
 |
WordPressがハッキングされる主な理由
RIANNA MACLEODさんが書かれた記事によると、WordPressがハッキングされる主な理由には5つの問題があるようです。詳しいことは記事を読んでいただけると、具体的な対策方法や考え方が詳しく書いてありますので元記事をよく読んで理解するとよいでしょう。
- パッチが適用されていない WordPress コア、プラグイン、テーマ
- 弱いパスワードとユーザー名
- 保護されていないWordPress管理パネル
- 共有サーバー環境での不適切な分離
- wp-config への無制限のアクセス
この中の「wp-config への無制限のアクセス」の対処は非常に多く放置されており、WordPressへの攻撃がしやすいサイトとしてwp-configがデフォルト設定のままでアクセスできる場合は常に攻撃対象として晒されているために対処が必要です。
 |
wp-config への無制限のアクセスに対処する。
wp-config への無制限のアクセスに対処する方法を簡単に要約しておきます。詳しい事柄についてはRIANNA MACLEODさんの書かれた記事を参照してみてください。
ここでは、wp-config への無制限のアクセスに対処の一般的なものを書いておきます。
WordPressのwp-config.phpファイルは非常に重要なファイルであり、ウェブサイトのデータベース接続情報やセキュリティ設定を含むため、適切に保護する必要があります。以下は、wp-config.phpファイルを保護し、セキュリティを向上させるためのいくつかの対策です。
ファイルパーミッションの設定
wp-config.phpファイルは、読み取り専用とすることが重要です。通常はファイルパーミッションを 400 や 440 などの読み取り専用に設定します。これにより、不正な変更やアクセスを防ぎます。
.htaccess ファイルを使用したアクセス制限
ウェブサーバーの.htaccessファイルを使用して、特定のIPアドレスまたはIP範囲からのアクセスを制限することができます。wp-config.phpファイルへの不正なアクセスをブロックするために、.htaccessファイルに適切な設定を追加します。
order allow,deny deny from all
以上の対策を実施することで、WordPressのwp-config.phpファイルを保護し、ウェブサイトのセキュリティを向上させることができます。セキュリティは定期的な監視と更新を含む継続的なプロセスであるため、セキュリティベストプラクティスを常に実践することが大切です。
