WordPressはサイト運営やサービスの提供に非常に便利ですが、一方で脆弱性も多いです。過去には致命的な脆弱性が発見されたことで、多くのサイトがサイバー攻撃の標的となりました。
本記事では、WordPressのサイトがサイバー攻撃に巻き込まれて乗っ取られたり、攻撃者にあなたのサイトが利用されたりしないために、WordPressの脆弱性を診断（チェック）するツールをご紹介します。
この記事を参考に脆弱性診断を実施して、大切なサイトやサービスを攻撃者から守りましょう。
目次
セキュリティ企業が選ぶWordPressの脆弱性診断ツール5選
セキュリティを専門とする当社が選ぶ、無料で実施できるWordPressの脆弱性診断チェックツールを5つ紹介します。
1. secuas
1つ目は当社ツール「secuas」です。このツールはWordPressだけではなく、さまざまなWebサービスの脆弱性を網羅的に診断できます。
脆弱性の網羅的な診断は非常に重要です。なぜなら、ツールの検査項目が少ないと多くの脆弱性がサイトに残るからです。
仮に、検査項目の少ないツールで脆弱性診断をすると検知できない脆弱性がサイトに多く残存するため、あなたのサイトがサイバー攻撃を受けやすい状態になります。
よって、脆弱性診断をするときは網羅的に検査してもらえるツールを選ぶべきです。secuasは脆弱性の検査項目が150以上と非常に多く、網羅的に脆弱性の有無を把握できます。
また、secuasを利用するメリットは他にもあります。
- 毎日定期的に脆弱性を診断
- 最新の脆弱性に対応している
- 脆弱性診断を全て日本語で実施
脆弱性は日々新しいものが見つかります。新しい脆弱性に対応するためには常に最新の脆弱性情報に対応し、定期的な確認が必要です。
また、脆弱性診断ツールの中には英語で実施するサービスがあるのに対し、secuasは診断結果から対策方法まですべて日本語に対応しています。
そのため、セキュリティ専任の担当者が英語に精通していなくても正確に診断結果を把握して、迅速に脆弱性に対する対策を打てます。
1分程度必要な情報を入力するだけで、あなたの運営しているWordPressにどのくらい脆弱性があるかを無料で把握できますので、一度も脆弱性診断を実施したことがない人は気軽にお試しください。
2. Jetpack Protect
2つ目の脆弱性診断ツールは「Jetpack Protect」です。このプラグインは、WordPress本体、プラグインやテーマなどの脆弱性をチェックできます。
Jetpack Protectは、世界中のWordPressで見つかった脆弱性をデータベースとして保持するプラグインです。その脆弱性の中で、あなたのサイトに当てはまるものがあるかどうかを確認する形で脆弱性の診断を行います。
Jetpack Protectを使うメリットは、脆弱性を広く網羅しているデータベースがあることです。
Jetpack Protectの脆弱性データベースは非常に広い範囲をカバーしています。そのため、Jetpack Protectで脆弱性チェックをクリアすれば広範囲の攻撃を防げる可能性が高いです。
しかし、Jetpack Protectには診断結果が英語で表記されるデメリットもあります。
Jetpack Protectの診断内容は表記が英語のため、英語に精通している人でないと診断内容を理解し対応するまでに時間がかかります。そのため、英語がわからない人であれば迅速な対応を正確に行なうことは難しく、障害になる可能性が高いです。
社内に英語がわかる人がいれば、Jetpack Protectを利用しても差し支えないですが、日本語表記ですぐにWordPressの脆弱性を把握したいのであれば一つ目に紹介した「secuas」を試してみるのも選択肢の一つです。
3. WPSEC
3つ目の脆弱性診断ツールは「WPSEC」です。このツールは、2つ目のツールで紹介したJetpack ProtectのWebツール版と考えてください。
もともとWPSECは「WP Scan」というツールが持っていた脆弱性データベースを利用してサービスを提供していました。しかし、このWP ScanをJetpack Protectが買収したので、現在はWPSECもJetpack Protectも機能は似たものになっています。
WordPressにプラグインを入れたくない場合は、このWPSECを使うことで外部ツールからの脆弱性診断ができます。しかし、特に理由がなければ基本的にJetpack Protectを利用していれば問題ないでしょう。
4. Wordfence Security
4つ目の診断ツールは「Wordfence Security」です。このツールも無料で脆弱性の診断ができます。
ただし、secuasやJetpack Protectと大きく異なる点があります。それはsecuasやJetpack Protectは脆弱性の診断が得意であるのに対して、Wordfence Securityはウイルスやコードインジェクション（不正にプログラムをサイト内に忍ばせること）などの攻撃検知が得意である点です。
この違いはWordfence Securityが、もともとサイバー攻撃からの防御を得意とするプラグインであることに起因しています。
よって、WordPressの脆弱性診断をして未来に攻撃を受ける可能性を低くしたい場合はsecuasやJetpackを利用し、過去に攻撃を受けていないか確認をしたい場合はWordfence Securityを利用する形で使い分けると良いでしょう。
また、Wordfence Securityの導入を検討する際には、「WordPressのセキュリティ対策6選！ワードプレスのサイト運営に必須のプラグインも紹介」で紹介したプラグインと併せて導入をぜひ検討してください。
Wordfence Securityと記事内で紹介したプラグインをあわせて導入すれば、サイト全体のセキュリティを強化し、より安全なサイト運営を目指せます。
5. Sitecheck
5つ目のツールは「Sitecheck」です。このツールでも脆弱性診断はできますが、脆弱性診断よりも攻撃検知を目的として使われることが多いです。
Sitecheckは、マルウェアの検知や自社サイトがブラックリストに登録されていないかなどサイトへの攻撃を検知することができます。
そのため、サイト内で何か不審な動きがあった際は、大きな被害になる前に攻撃を検知して適切な処置をとることが可能です。
仮に、自社サイトがマルウェアに感染していると、サイトが攻撃者にサイトを利用されて意図せず自分のサイトが他サイトへの攻撃に加担する場合があります。
また、一度マルウェアに感染したサイトはブラックリストに登録されてしまう可能性が高いため、検索エンジンに自社サイトの情報が表示されなくなる被害にも遭います。
これらの被害に合わないためにも「Sitecheck」を導入して攻撃検知ができる状況を作ることが望ましいです。
WordPressの脆弱性を放置するとサイバー攻撃の標的になる
WordPressの脆弱性を放置するとサイバー攻撃の標的となり、サイトや収益、社会的信頼を失いかねません。なぜWordPressの脆弱性を放置してはいけないのか、放置するとどのような被害に巻き込まれるのか解説します。
WordPressを含むCMSは便利だけど脆弱性も多い
WordPressを筆頭としたCMS（Contents Management System）は、Webサイトのコンテンツ管理システムです。このシステムは非常に便利で人気ですが、多くの脆弱性が見つかります。
これは実際のシステムに欠陥が多いわけではありません。多くの人が利用するからこそ攻撃者も攻撃の機会が多いと判断し、攻撃のために脆弱性の研究を行なっていることが原因です。
発見された脆弱性の中でも致命的なものを放置すると、攻撃者によってサイトを改ざんされたり、データを盗まれたりします。もしも盗まれたデータに顧客情報や取引先の情報などが含まれていれば、企業の信頼が損なわれブランドに傷が付きます。
規模が大きいものになるとニュースで報道されるような事態にも発展しかねません。売上が大きく下がる、顧客離れが発生するなどの影響もでてくるため、脆弱性が見つかった場合には一刻も早い対応が求められます。
攻撃者は常に攻撃しやすい企業を探している
企業の情報は機密性が高く個人情報を扱っている数も多いため、攻撃者にとっては個人より企業の方が攻撃したい対象です。
特に脆弱性が多いWEBサービスを運営している企業は、攻撃者にとって狙われやすいです。
だからこそ企業は徹底したセキュリティによって情報を守り、自社や顧客、取引先を守るための施策を取る必要があります。
そのためにも、まずは自社で運営しているWordPressおよびウェブサービスに脆弱性があるかどうか把握することが重要です。
脆弱性診断をすればセキュリティを強化してサイトを守れる
本記事で紹介した脆弱性診断ツールを利用すればセキュリティを強化してサイトを守れます。しかし、無料ツールには限界もあることを理解しておきましょう。
無料ツールは便利だけどできないことも多い
無料ツールはレベルも高く、最低限のセキュリティチェックはできます。しかし、脆弱性のチェック回数が限定されていたり、情報の更新ペースが遅かったりするなど、制限も多いです。
無料ツールで当面のセキュリティを確保した後は、有料ツールへ切り替えて本格的なセキュリティ対策を講じることを検討してみてください。
最高レベルのセキュリティを保つには定期的な診断が必須
一度脆弱性診断をして問題ないと判断されたサイトも定期的な診断が必須です。なぜなら攻撃者は新しい脆弱性を発見して、その脆弱性を利用して攻撃を行なうからです。
攻撃者の悪質な攻撃によってサイト改ざん、情報漏えいなどを引き起こさないためにも、企業は最新の脆弱性に対応しているツールで脆弱性の対応をしなければなりません。
WordPressの脆弱性診断をして安全なサイト運営をしよう
WordPressの脆弱性を放置するとサイト改ざんや個人情報流出などが起こり、企業のブランドに傷がつきます。これにより売上が下がる、トラブル対応に追われ通常業務が回らなくなるなどの直接的な被害に遭う恐れがあるため、脆弱性には事前に対策を打ちましょう。
どの脆弱性診断ツールを使えばいいのか判断が難しい場合には、ぜひ当社ツール「secuas」をご利用ください。
secuasは脆弱性の検査項目が150以上と非常に多く、網羅的に脆弱性の有無を把握できます。
また、secuasはすべて日本語に対応しているため、英語が苦手なエンジニアでも診断内容を迅速に把握し脆弱性への対応ができます。
脆弱性診断ツールの中には英語で表記されるツールもあり、英語表記のツールを利用すると診断内容を解析する手間がかかるため負担が大きくなります。
secuasは診断内容が日本語かつ網羅的に脆弱性を把握できるため、取り急ぎサイトに脆弱性があるかどうか判断したい人はぜひお試しください。
必要な情報を1分程度入力するだけで簡単に脆弱性の数を把握できますので、脆弱性のない安全なサイトを運営したい人はsecuasによる無料診断をお試しください。