「Jetpack」は多彩な機能が人気のWordPressプラグイン。2012年以来、深刻なセキュリティーバグが存在していたことが発覚。使用されている方はアップデートなどの対応を早急に行う必要があります。開発元の発表によると、バグは開発元の内部調査で見つかりました。見つかったバグは攻撃者がサイトにアクセスして自由に投稿することを可能にする深刻なものです。権限の与えられていないユーザーが、本来の与えられるべきレベル以上のパーミッションを得ることによってこのようなことが起きるそうです。他の種類の攻撃も増える可能性があるのとのこと。おまけに、このバグを突かれて攻撃を許したかどうかは、すぐにはわかりません。ユーザーがサイトから締め出されたり、変なメッセージが現れたりしない限り気付かないそうです。1.9から今日に至るまで存在し続けているというのですから、少し怖くなります。開発もとの内部調査によれば、この弱点を突かれて不正なアクセスが起こったという証拠はないそうですが、攻撃されてもとても気付きにくいのであれば、安心なんて出来ません。大急ぎでアップデートする必要バグの存在の公開は、利用者に対する親切な警告であると同時に、世界中のクラッカーたちに対するJetpack攻撃のためのヒントを教えることでもあります。この穴を突かれてクラッキングされるのは時間の問題です。完全に安全を確保するには、Jetpackを最新バージョン2.9.3にアップデートするしかありません。Jetpackをいつまでも最新バージョンにアップデートしないでいると、少なくともいくつかのサービスは使えなくなります。開発元は、開発元自身の安全を確保するために、Jetpackの古いバージョンをいつまでも使っているサイトをJetpackのサービスから遮断する旨をアナウンスしています。開発元自身の安全を保つために遮断するって...よほど深刻な脆弱性なんですね。念のため管理サイトを全てチェックすべし今回見つかった脆弱性というのは、まだ被害が確認されていないものの、潜在的にかなり大きな脅威があるもののようです。自分のサイト顧客のサイトを問わず、管理する全てのサイトについて、Jetpackを使っていないかどうか確認する必要があります。使っているなら、それを最新バージョンにアップデートすることこそ、最優先で取り組むべき仕事です。自動的にアップデートされて下記バージョンに更新されているなら安心とはいえ自動アップデートの設定をしている方は心配ありません。WordPress管理画面⇒プラグインで、jetpackのバージョンを確認して下記バージョンになっていればアップデート済みです。2.8.2,2.9.3追記・FAQの内容まとめこの件に関して開発元がFAQsを公開しています。内容をかいつまんで紹介すると有効化していなかったら心配ないJetpackをインストールしたもののまだ有効化していない場合は心配ないそうです。有効化してWordPress.comと接続している場合のみ脆弱性の問題が生じるようです。2段階認証でも脆弱性に晒されているまた、2段階認証を取り入れていても、脆弱性の問題からは逃れられないそうですが、パスワードの変更は必要ありません。WordPress.comのサイト・ブログは心配ない今回の問題は、あくまで、自分でサーバーをレンタル・用意してインストールしたWordPressにのみ生じる問題です。WordPress.comで運営されているサイトには関係ありません。fシェアtツイートB!はてブ著者:ウェブシュフFP主夫ブロガー。メインサイトは家計ブログ。PHPやSEOと格闘しつつWordPressで運営しています。サイトをいじったときの備忘録などウェブ関連のことをまとめたサブサイトとして当サイトを運営しています。当ドメインの運営歴は現在8年目です。コメントをキャンセルメールアドレスが公開されることはありません。よる表記とプライバシーポリシ。