Anonymous Fox による WordPress 5.5 ハッキング: 心配すべきでしょうか?

8月11日のWordPress最新アップデートでは、私たちの日常業務で多く利用しているWordPressに、多くの刺激的な変化がもたらされました。プラグインやテーマもすべてアップデートされ、より使いやすくなったため、WordPressユーザーにとってアクセスのしやすさという点では、未来は非常に明るいものでした。しかし、匿名のWordPress 5.5ハッキングのニュースは、WordPressを利用する多くの人にとって、大きな痛手となる可能性があります。一体何が起こったのでしょうか？そして、私たちは過度に心配すべきなのでしょうか？

何が起こったのか?

Wordfenceファイアウォールを開発するDefiant社によると、今週WordPressサイトが調査と攻撃を受けたというニュースがあり、当然のことながら多くのブロガーやeコマース企業の脆弱性が露呈しました。しかし、一体何が起こったのでしょうか？

• ファイルマネージャー（70万以上のウェブサイトにインストールされている人気のWordPressプラグイン）のゼロデイ脆弱性をハッカーが悪用する方法を発見したことで、攻撃が急増しました。当然のことながら、多くのウェブサイトプロバイダーはパニックに陥りました。
• ゼロデイ脆弱性は、認証されていないファイルのアップロードに存在していました。これにより、攻撃者はファイルマネージャープラグインの古いバージョン（バージョン6.8以下）を実行しているサイトに悪意のあるファイルをアップロードすることができました。
• ハッカーは、elFinder パッケージから保護されていないファイルにアクセスしました。

なぜこんなことが起きたのか?

現時点では、それがどのように起こったかは不明ですが、事実は次のとおりです。

• 9 月 1 日以降、ハッカーはファイル マネージャー プラグインがインストールされている可能性のあるサイトを調査し始めました。
• プローブ攻撃に成功すると、ハッカーはWebシェルをアップロードすることで脆弱性を悪用します。これは被害者のサーバー上に画像ファイルの形で存在し、偽装の役割を果たします。
• 攻撃者はウェブシェルにアクセスすると、被害者のサイトを乗っ取り、ボットネット内に閉じ込めて悪意のあるタスクを実行します。

影響を受けるユーザーは何人ですか?

Defiantの脅威アナリスト、ラム・ガル氏によると、このゼロデイ脆弱性に対する攻撃は数日間で急増したとのことです。9月初旬には攻撃はゆっくりと始まりましたが、1週間を通して徐々に激化しました。Defiantは9月4日（金）だけでWordPressサイトへの攻撃が100万件に達したと記録し、9月1日以降は170万サイト以上の攻撃をブロックしました。これは、Wordfenceウェブファイアウォールを使用しているWordPressウェブサイトの半数以上に相当します。攻撃の正確な規模はさらに大きいと考えられています。WordPressは約4億5500万サイトにインストールされており、これは時間の経過とともに多くのサイトが調査され、ハッキングされていることを示唆している可能性があります。

これに対抗するために何が行われているのでしょうか?

ユーザーにとっては衝撃的なニュースに思えるかもしれませんが、File Managerの開発チームは攻撃を把握した直後から、ゼロデイ脆弱性に対するパッチを作成し、リリースしました。このパッチはハッキングが始まった当日にリリースされました。多くのサイト所有者は最新のパッチを適用していますが、対応に時間がかかる場合が多く、セキュリティ対策の妨げになることがあります。しかし、最新パッチのアップデートが遅いという問題が一般的になっていることから、WordPressの開発チームはWordPress 5.5の一部としてWordPressテーマとプラグインの自動更新機能を導入しました。サイト所有者は、プラグインを自動更新するように設定することで、テーマやプラグインを最新バージョンに更新できるようになりました。

ハッキングされた場合、何かできることはありますか?

ハッキングされたと思われる場合、またはサイトの保護を強化したい場合は、次の操作を実行できます。

• 6.9 より前のバージョンのファイル マネージャーを実行している場合は、WordPress を更新してください。
• 「ダッシュボード > 更新」メニューから WordPress を再インストールします。これにより、感染したコア ファイルが削除され、すべての管理者ユーザー/データベース パスワードが変更されます。
• NinjaFirewall WP Edition (無料) や NinjaFirewall WP+ Edition (プレミアム) などのアプリケーションでフル WAF モードを有効にします。
• プラグインの自動更新を有効にしましょう。右側のプラグインリストに移動し、「プラグインの自動更新を有効にする」をクリックします。選択したプラグインを自動更新したり、問題の原因となる可能性のあるプラグインの更新をブロックしたりできます。しかし、何よりもまず、ウイルス対策プラグインは必ず自動更新してください。

こちらをご覧ください 絶対に見逃せないWordPressメンテナンスの究極のヒント WordPress ウェブサイトのメンテナンスについて詳しく説明します。

WordPress 5.5 を避けるべきでしょうか?

ハッキング全般に関する懸念を考えると、WordPressの使用をためらう人も多いでしょう。しかし、WordPressは、特にeコマースビジネスやブログを運営している人にとって、非常に重要なコンポーネントです。しかし、常に最新の動向を把握しておくことが重要です。特にWordPressのプラグインやテーマにおける最新の脆弱性に目を光らせていない場合は、役立つリソースが数多くあります。例えば、専用のリソースがあります。 ソーシャルメディア アカウント。

ハッキングを受けた人は「一度やられたら二度としない」という気持ちになることが多いでしょう。しかし、WordPressは使いやすく、ウェブサイトのメンテナンスも楽にしてくれます。バージョン5.5も期待を裏切りません。ブロックエディターは使いやすく、インライン画像編集はより使いやすく、ブラウザへの画像の遅延読み込みはデフォルトで作業時間を短縮し、テーマとサイトマップはWordPressを包括的なエクスペリエンスへと進化させました。ウェブサイトのメンテナンスを容易にする使いやすいユーザーインターフェースを求めている人にとって、WordPress 5.5はまさにうってつけです。

結論

WordPressユーザーで乗り換えを検討されている方は、今すぐにはお勧めできません。WordPress 5.5は、初心者のウェブサイトデザイナーにとって非常に包括的なツールであり、ウェブサイトの運営と管理がこれまで以上に快適になります。追加のサポートが必要な場合は、 WordPress管理プラン これにはサポート、メンテナンス、セキュリティが含まれます。