アノニマスフォックスWordPress 5.5ハック：私は心配する必要がありますか？

8月11日に行われたWordPressの最新アップデートは、私たちの多くが日々の仕事で頼りにしているこのフォーマットに、多くのエキサイティングな変化をもたらした。また、プラグインやテーマがよりユーザーフレンドリーにアップデートされ、WordPressユーザーにとってアクセスのしやすさに関する限り、未来は非常に明るいものだった。しかし、アノニマスワードプレス5.5ハックのニュースは、ワードプレスに依存している多くの人たちの仕事に一石を投じる可能性がある。何が起こったのだろうか？

何が起きたのか？

Wordfenceファイアウォールの開発元であるDefiant社によると、今週WordPressのサイトが調査され攻撃されたというニュースがあり、当然ながら多くのブロガーやeコマース企業の脆弱性が露呈した。しかし、何が起こったのだろうか？

• ハッカーがFile Manager（70万以上のサイトにインストールされている人気のWordPressプラグイン）のゼロデイ脆弱性を悪用する方法を発見した後、攻撃の大規模な増加が発生した。当然、多くのウェブサイト・プロバイダーはパニックに陥った。
• ゼロデイ脆弱性は、認証されていないファイルアップロードでした。これにより攻撃者は、ファイルマネージャ・プラグインの古いバージョン（バージョン6.8以下）を実行しているサイト上で、悪意のあるファイルをアップロードすることが可能になります。
• ハッカーはelFinderパッケージから保護されていないファイルにアクセスした。

なぜこうなったのか？

現在のところ、どのような経緯でそうなったのかは不明だが、事実は以下の通りである：

• 9月1日以降、ハッカーたちはファイルマネージャ・プラグインがインストールされている可能性のあるサイトを探り始めた。
• プローブが成功すると、ハッカーはウェブシェルをアップロードして脆弱性を悪用する。これは、被害者のサーバー上の画像ファイルという形をとり、偽装の役割を果たす。
• 攻撃者がウェブシェルにアクセスすると、被害者のサイトを乗っ取り、ボットネット内に閉じ込めて悪意のあるタスクを実行させる。

どれだけのユーザーが影響を受けるのか？

Defiant社の脅威アナリスト、ラム・ガル氏によると、このゼロデイ脆弱性に対する攻撃は、数日の間に劇的に増加したという。9月初旬、攻撃は徐々に始まったが、週を通して徐々に激化した。Defiantは、9月4日（金）だけでWordPressサイトに対する100万件の攻撃を記録し、9月1日以降、Wordfenceのウェブファイアウォールを使用しているWordPressウェブサイトの半数以上に相当する170万以上のサイトに対する攻撃をブロックしました。攻撃の正確な規模はさらに大きいと考えられている。WordPressは約4億5,500万サイトにインストールされている。これは、多くのサイトが時間をかけて調査され、ハッキングされていることを示唆しているのかもしれない。

その対策は？

これはユーザーにとっては壊滅的なニュースのように思えるかもしれないが、ファイル・マネージャー開発チームは攻撃を知るとすぐにゼロデイ脆弱性のパッチを作成し、リリースした。パッチはハッキングが始まったその日にリリースされた。多くのサイトオーナーは最新のパッチをインストールしているが、多くのサイトオーナーは追いつくのに時間がかかり、防御のチャンスを大きく妨げている。しかし、最新パッチの更新の遅さは共通のテーマであるため、WordPress開発チームはWordPress 5.5の一部としてWordPressテーマとプラグインの自動更新機能をインストールした。サイトの所有者は、テーマやプラグインの最新バージョンを実行するために、プラグインを自動更新するように設定できるようになった。

ハッキングされた場合、何かできることはありますか？

ハッキングされたと思われる場合、またはサイトの保護を強化したい場合は、次のことを行うことができます：

• ファイルマネージャのバージョンが6.9未満の場合は、WordPressを更新してください。
• ダッシュボード > アップデート」メニューからWordPressを再インストールしてください。これにより、感染したコアファイルが削除され、すべての管理ユーザー/データベースのパスワードが変更されます。
• NinjaFirewall WP Edition (無料)やNinjaFirewall WP+ Edition (プレミアム)などのアプリケーションでフルWAFモードを有効にする。
• プラグインの自動更新を有効にする。右側のプラグインリストに移動し、"enable auto-plugins "をクリックしてください。お好みのプラグインを自動更新したり、問題を引き起こす可能性のあるいくつかのプラグインの更新を防ぐことができます。しかし、何よりもウイルス対策プラグインの自動更新を確実に行うこと。

私たちの 無視できないWordPressメンテナンスの究極のヒントをご覧ください。

WordPress 5.5は避けるべきか？

一般的にハッキングに関連するあらゆる懸念があるため、WordPressを使うことを二の足を踏んでしまう人がほとんどだろう。しかし、WordPressは、特にeコマースビジネスやブログを運営している人にとっては、非常に重要なコンポーネントである。しかし、必要不可欠なのは、常に最新情報を入手することだ。もしあなたが最新の脆弱性、特にWordPressのプラグインやテーマの脆弱性に目を光らせていないのであれば、あなたを助けてくれる数多くのリソースを見つけることができる。例えば、専用のソーシャルメディアアカウントがある。

ハッキングされた人の多くは、"一度噛まれたら二度恥ずかしがる "と感じるかもしれない。しかし、WordPressは使いやすく、ウェブサイトを簡単に維持することができる。ブロックエディターは使いやすく、インライン画像編集はより利用しやすくなり、デフォルトの画像のブラウザへのレイジーローディングは短時間で完了し、テーマとサイトマップはWordPressを包括的な体験に変えた。簡単にウェブサイトを維持できるユーザーインターフェイスをお探しの方にとって、WordPress 5.5は素晴らしいものです。

結論

もしあなたがWordPressのユーザーで、乗り換えを検討しているのであれば、まだお勧めはしません。WordPress 5.5は、初心者のウェブサイトデザイナーにとって信じられないほど包括的なツールであり、ウェブサイトの運営と管理を以前よりもさらに快適にしてくれます。さらにサポートが必要な場合は ワードプレスマネジメントプランをお勧めします。