サーバーのパッチで安心するな。WordPressは「自分側」の対策までが1セット

レンタルサーバー側が修正パッチを当ててくれたから大丈夫、で終わらせないでください。サーバーが守るのは土台だけで、WordPress本体・テーマ・プラグイン・管理画面は管理者の責任範囲です。被害が出てからでは遅いので、今日中に終わる7項目をまとめました。

パッチは「土台の修理」であって「戸締まり」ではない

サーバー会社の対応は、共用部分の穴をふさぐ作業です。あなたのサイトのログインURL、管理者パスワード、使っていない5年前のプラグイン——ここは誰も守ってくれません。実際に改ざん被害に遭うサイトの多くは、サーバーの脆弱性ではなく、放置された管理画面とプラグインから入られています。

今日やる7つ

1. SiteGuard WP Pluginを入れる
   • ログインURLの変更
   • ログインアラート
   • ログインロック
   • 画像認証（CAPTCHA）
   • XMLRPC防御
     ※変更後のログインURLは必ず控えておくこと。自分が締め出されます。
2. サーバーWAFが「有効」になっているか確認
   契約していても、サイト単位でOFFのままというケースが本当に多いです。管理画面で目視確認してください。
3. Wordfenceを入れてスキャン
   スキャン感度を「高感度」に設定して実行。既に埋め込まれている不審ファイルを洗い出します。
4. 不要なテーマ・プラグインは「停止」ではなく「削除」
   停止中でもファイルはサーバーに残り、攻撃対象になります。使っていないものは消す。
5. uploads配下のPHP直接実行を禁止する
   wp-content/uploads/ に .htaccess を置き、PHPファイルの実行を拒否。アップロード経由の侵入を一段階で止められます。
6. PHPバージョンと自動更新設定の見直し
   サポートが切れたPHPは、それ自体が穴です。本体・プラグインの自動更新も合わせて確認を。
7. 管理者アカウントの整理とパスワードの複雑化
   admin、サイト名そのまま、ドメイン名——このあたりのユーザー名は即変更。覚えやすいパスワードは、攻撃側にとっても覚えやすいです。使っていない管理者権限アカウントも削除。

「うちは小さいサイトだから狙われない」が一番危ない

攻撃の大半は、人間が選んで狙っているわけではなく、自動で穴を探し回るプログラムです。規模も業種も関係ありません。むしろ更新が止まっている小規模サイトのほうが、踏み台として使いやすい。クライアントのサイトを預かっている立場なら、自分の管理分すべてを棚卸ししてください。

競うより、共有する

この手の話は、知識でマウントを取り合っても1ミリも安全になりません。「それ古い」「こっちのほうが正しい」より、「うちはこうしてる」の共有のほうが価値があります。他にいい方法があればぜひ教えてください。被害が出ないことが目的です。