こんにちは。
久しぶりの【ＩＴの豆知識】です。
今日は【WordPressに対する攻撃】についてお話させていただきます。
アメリカで11月20日、WordPressを専用とするセキュリティ企業が【WordPressのプラグインの脆弱性を標的にした攻撃】をブログで公表しました。
11月9日にも同様な攻撃があり、立て続けのセキュリティー問題が明らかになりました。
まず【プラグイン】とは？
WordPressのプログラム本体とは別に後から追加された機能だけのプログラムです。
そのプログラムは【AMP for WP】というものです。
ただ、このプログラム単体での脆弱性への攻撃は、より進化した【高度な攻撃】へと変化してしまいました。
具体的には、ハッカーは【AMP for WP】の脆弱性を利用して、脆弱なサイトを探します。
脆弱なサイトを見つけると、今度は【XSS】というもの脆弱性を利用してサイト内の様々なところに【攻撃コード】というものを仕掛けます。
サイト管理者がその【攻撃コード】にアクセスすると、あるサイトからファイルをを読み込み、実行します。
ファイルが実行されると「supportuuser」という管理者アカウントが作られます。
と同時に、サーバーへの攻撃用の入り口を作ります。
そうなると、サーバーはハッカーの思いのままになり、そのサーバーを利用して他のサイトを攻撃したり、そのサーバーのWordPress（HPやブログ）を改変したり出来ます。
対策としては大至急【AMP for WP】のプラグインをアップデートして、サイトのバックエンドに「supportuuser」という管理者ユーザーが作られていないかを確認する事です。
一般的にWordPressを利用している（レンタルサーバー）なら、管理者（レンタルサーバー会社）が対策をするので利用者は何も出来ませんが、クラウドサーバーやオンプレミスでサーバーを構築している（WordPressが使える）場合は要注意です。
Linux系のOSは管理をしっかりしないと、ハッカーの【道具】にされやすいです。
Windows系は月次アップデートを有効にしておけば、修正ファイルが自動的に適用されるので、安心（完全ではないですが）ですが、Linuxの場合は、自分で情報を常に収集して、脆弱性に対応しなければならないで、こまめな管理が必須です。
今日はWordPressの脆弱性のお話をさせて頂きました。
最後までお読み頂きまして、ありがとうございました。
横浜で中小企業のＩＴ導入・運用の最適化なら
株式会社ＩＤＳまで！
お問い合わせをお待ちしております。
mailto：info@ids-it.co.jp
TEL：0120-954-695
FAX：045-479-4580
営業時間 9：00～17：30（土日祝休）