FrontierStack の WordPress サポート：更新、整合性、そして侵入の兆候チェック

公開 2026-11-03

侵入された WordPress サイトの多くは、巧妙な攻撃にやられたわけではありません。プラグインに公表済みの穴があり、修正が何週間も適用されず、その後に仕掛けられたバックドアが誰にも見られないまま残っていた、というのがよくある経緯です。FrontierStack は WordPress を、ほかのインフラと同じように扱います。すべてのサーバのすべてのサイトを一つのペインで見渡し、必要な更新を適用し、問題があればアラートで知らせます。2.15 では、これまで欠けていた部分、つまりサイトがすでに侵入されていないかの確認が加わります。

一つのペインですべてのサイトを。サイトに入れるものはなし

WordPress ペインを開き、ホスト（この Mac か、FrontierStack が SSH で管理している任意のサーバ）を選んでサイトをスキャンします。一般的な Web ルートの下からすべての wp-config.php を見つけ、各サイトの WordPress・PHP・データベースのバージョンを一覧にします。操作はすべて WordPress 公式のコマンドライン WP-CLI で行います。サーバに入っていなければ、署名を確認したうえで固定バージョンをペインからインストールします。

サイトの中に FrontierStack のプラグインを入れないのは意図的です。プラグインは、侵入者に無効化されたり、書き換えられたり、偽の答えを返させられたりします。SSH 経由で外側から行うチェックは、そうはいきません。

サイトを壊さずに最新の状態を保つ

各サイトに、適用待ちのコア・プラグイン・テーマの更新が表示されます。すべて更新は最初にデータベースをエクスポートします。プラグインの更新に失敗するとサイトが止まることがあり、エクスポートが元に戻す手段になるからです。プラグインを一つずつ更新することもできます。マルチサイトのネットワークはサブサイトを一覧にします。整合性を検査は、WordPress のコアファイルを WordPress.org が公開するチェックサムと照合します。改ざんされたインストールを見つける最も手早い方法です。

2.15 の新機能：インストール済みのすべてのバージョンを、既知のすべての穴と照合

無料の Wordfence Intelligence API キーを追加すると、FrontierStack は WordPress の脆弱性データベース全体を 1 日 1 回ダウンロードし、すべてのサイトの WordPress コア・プラグイン・テーマを Mac 上で照合します。ファイルにまだアクセスできる無効なプラグインも対象です。サイトごとの上限はありません。公開された修正がないものは、更新では解決できないため目立つように表示します。キーは商用利用も無料で、wordfence.com アカウントの Integrations で作成します。WPScan のトークンも引き続き使えますが、無料枠は 1 日 25 リクエストです。

2.15 の新機能：このサイトはすでに侵入されていないか

セキュリティチェックは、侵入が残す痕跡を探します。サイトは何も変更しません。

• すべてのプラグインを WordPress.org と照合。プラグインフォルダ内の書き換えられたファイルや追加されたファイルは、バックドアが最もよく潜む場所です。
• 新しい管理者と必須（must-use）プラグイン。最初のチェックで管理者と必須プラグインを記録し、以降のチェックで新しいものを知らせます。必須プラグインはすべてのページで読み込まれ、wp-admin から無効化できないため、攻撃者に好まれます。
• サイトアドレスの変更。乗っ取られたサイトが訪問者を別の場所へ送る手口です。
• アップロードフォルダ内の PHP ファイル。本来は画像や文書だけが置かれる場所です。
• 誰でもダウンロードできるもの。Web ルートに残った wp-config.php のバックアップや SQL ダンプ、公開状態の debug.log です。
• セキュリティ問題で WordPress.org が公開停止したプラグイン。これらには今後も更新が来ません。
• 管理者や編集者の権限を与える自由登録。

あわせて、強化の不足を警告として示します。有効なままの組み込みファイルエディタ、訪問者に表示される PHP エラー、パスワード推測に応答する XML-RPC です。チェックはプラグインとテーマを読み込まずに WP-CLI を実行するため、侵害されたプラグインが自分について偽ることはできません。新しい管理者が自分たちのものだと確認できたら、正常として承認で基準を更新します。

Wordfence をお使いなら、その検出結果もここに

サイトに Wordfence が入っていれば、FrontierStack はそのスキャン結果をサイトのデータベースから読み取ります。重大度別の未解決の問題、最後のスキャンが完了したか、過去 24 時間のログイン失敗、ブロック中のアドレス数です。サイトを守るのは引き続き Wordfence です。FrontierStack は、誰も読まない受信箱に届くメールではなく、ほかの情報と並べて確実に知らせます。重大（critical）と高（high）の問題はアラートになります。

届くアラート

サイトでアラートで監視を選ぶと、適用待ちの更新、整合性チェックの失敗、既知の脆弱性、セキュリティチェックで見つかった問題を知らせます。通知は、ほかのサーバに使っているのと同じ経路で届きます。監視中のサイトのセキュリティチェックは最大 1 時間に 1 回です。

これまで SSH が必要だった作業

• 任意のホストへの新規サイトのインストール：WordPress のダウンロード、wp-config.php、データベース、管理者アカウントを一度に用意します。
• 締め出された管理者のためのユーザとパスワードのリセット。新しいパスワードはコマンドラインにもログにも残りません。
• ドメイン間でサイトを移すための検索置換（ドライランが必須）。SQL で直接置換するとシリアライズされた PHP が壊れますが、WP-CLI は正しく書き換えます。
• ステージングへの複製。専用のデータベースを用意して URL を書き換え、検索エンジンにはインデックスしないよう求めます。本番には一切書き込みません。
• データベースのエクスポートと最適化、そして厳選したプラグイン（予約、コマース、メール配信、バックアップ、キャッシュ、セキュリティ）のワンクリックインストール。
• GoDaddy から移したサイトでは、他所では真っ白な画面の原因になる GoDaddy 専用ファイルを見つけ、コピーを残したうえで取り除きます。

しないこと

セキュリティチェックは見つけて報告するもので、侵害されたサイトを掃除はしません。その場合は今も、正常なバックアップから戻し、すべてのパスワードを変えることになります。FrontierStack には SSH と WP-CLI が必要なため、どちらも提供しないマネージドホストは対象外です。有料プラグインは WordPress.org と照合できないため、そうと分かるよう一覧にします。Wordfence のテーブルの読み取りは Wordfence 自身の形式に依存するため、将来のリリースで形式が変われば、その部分は誤った「異常なし」ではなく空欄になります。

始め方

FrontierStack 2.15 に更新し、WordPress を開いてサイトをスキャンを選び、各サイトでセキュリティチェックを実行します。続いて脆弱性フィード用に Wordfence Intelligence のキーを追加し、大事なサイトでアラートで監視を選びます。FrontierStack での WordPress の運用については WordPress のページをご覧ください。

Vulnerability data from Wordfence Intelligence, © Defiant Inc. Includes CVE® data © The MITRE Corporation.