古いWordPressの放置は危険！旧サイト・テストサイトが攻撃される原因と対策

「WordPressは最新版に更新しているから大丈夫」
「セキュリティプラグインも導入しているので安心」
「現在のホームページには特に問題がない」

WordPressでホームページを運用している企業では、このように考えている方も多いのではないでしょうか。

しかし、現在公開しているWordPressが最新の状態でも、必ずしもサーバー全体が安全とは限りません。

注意したいのが、過去に制作したテストサイトや、リニューアル前の古いホームページが、サーバー内に残ったままになっているケースです。

実際に、現在のホームページとは別にサーバー上に残されていた古いWordPressが、攻撃対象となった事例もあります。

この記事では、旧サイトやテストサイトを放置することで生じるセキュリティリスクと、企業が確認しておきたい対策について解説します。

---

現行のWordPressが最新でも安心できない理由

WordPressのセキュリティ対策では、本体やプラグイン、テーマを最新版に更新することが基本です。

しかし、ここで見落とされやすいのが、サーバー内に存在する別のWordPressです。

例えば、現在のホームページが次のような状態だったとします。

• WordPress本体は最新版に更新済み
• プラグインやテーマも更新済み
• PHPもサポート対象のバージョンを使用
• Wordfenceなどのセキュリティプラグインを導入済み

一見すると、適切に管理されているホームページです。

ところが、同じサーバー内に数年前のテストサイトが残っていて、そのWordPressが更新されていなかった場合はどうでしょうか。

古いWordPressやプラグインに既知の脆弱性が残っていれば、攻撃者がそのサイトを狙う可能性があります。

現行サイトのWordPressを更新しても、サーバー内にある別のWordPressまで自動的に更新されるわけではありません。

そのため、現在公開しているホームページだけでなく、サーバー上に存在するWordPress全体を把握することが重要です。

実際にあった旧サイト・テストサイトへの攻撃事例

実際に、企業のホームページを運用しているサーバー内に、過去のテスト環境やリニューアル前のWordPressが残されており、その古いWordPressが攻撃対象となった事例がありました。

現在公開しているホームページとは別の場所に、以前使用していたWordPressが残っていたケースです。

このような場合、現在のホームページだけを確認していても、古いWordPressの存在に気づかないことがあります。

例えば、次のようなディレクトリやサブドメインです。

• example.com/test/
• example.com/old/
• example.com/wp-old/
• test.example.com
• staging.example.com

これらはあくまで一般的な例ですが、過去の制作時に使用したデータが削除されずに残っていることがあります。

また、テストサイトは検索エンジンに登録されていなくても、インターネットからアクセスできる状態であれば、攻撃対象になる可能性があります。

「普段誰も見ていないサイトだから安全」というわけではありません。

なお、今回の事例で確認されたのは、古いWordPressが攻撃対象となったことです。現行サイトへの侵入や情報漏えいが発生したかどうかについては、個別の調査結果によるため、ここでは断定しません。

なぜ古いWordPressが攻撃対象になるのか

WordPressは広く利用されているCMSであり、WordPress本体だけでなく、プラグインやテーマの脆弱性が公表されることもあります。

脆弱性が発見された場合、開発元から修正版が公開されることがありますが、古いサイトを更新せずに放置していると、その修正が適用されません。

攻撃者は、こうした既知の脆弱性を持つサイトを自動的に探すことがあります。

特に注意したいのは次のような状態です。

• WordPress本体が長期間更新されていない
• 古いプラグインやテーマが残っている
• 開発・サポートが終了したプラグインを使用している
• PHPが古いバージョンのままになっている
• 管理者アカウントの認証情報が適切に管理されていない

ただし、古いバージョンであることだけで、必ず攻撃が成功するわけではありません。

重要なのは、既知の脆弱性が残っていないか、適切に管理されているかという点です。

旧サイトから現行サイトにも影響する可能性がある

古いWordPressが攻撃された場合、被害がそのサイトだけで終わるとは限りません。

特に、現行サイトと旧サイトが同じサーバーアカウント内で運用されている場合は注意が必要です。

例えば、攻撃者が古いWordPressの脆弱性を悪用してサーバー内のファイルを操作できる状態になった場合、サーバーの権限設定や構成によっては、別のディレクトリにあるファイルにも影響する可能性があります。

考えられるリスクとしては、次のようなものがあります。

• 古いWordPressのファイルが改ざんされる
• 不審なPHPファイルなどが設置される
• 同じサーバー内の別サイトに影響が及ぶ
• サーバー内に保存された設定情報が不正に参照される
• 不正な処理によってサーバーに負荷がかかる

ただし、実際にどこまで影響が及ぶかは、サーバーの権限設定やサイトの構成、悪用された脆弱性によって異なります。

古いWordPressが攻撃されたからといって、必ず現行サイトまで改ざんされるわけではありません。

一方で、同じサーバー内にあるからこそ、旧サイトだけでなく現行サイトも含めた確認が必要になる場合があります。

サーバーに残りやすい古いWordPressの例

企業のホームページでは、制作やリニューアルの過程で複数のWordPressが作成されることがあります。

例えば、次のようなものです。

• リニューアル前の旧ホームページ
  新サイト公開後も、旧サイトのファイルが削除されずに残っている。
• 制作時のテストサイト
  デザインや動作確認のために作成したWordPressが、そのまま残っている。
• 過去の検証用サイト
  プラグインやPHPの動作確認のために作成した環境が残っている。
• 使用していないサブドメイン
  以前のキャンペーンサイトや特設サイトが、公開状態のまま残っている。
• バックアップとしてコピーしたWordPress
  バックアップ目的で複製したサイトが、Webからアクセスできる場所に置かれている。

これらのサイトは、現在の担当者が存在を把握していない場合もあります。

特に、ホームページを何度もリニューアルしている企業や、制作会社を変更したことがある企業では、一度確認しておくことをおすすめします。

対処法① サーバー内のWordPressをすべて確認する

まずは、現在利用しているサーバー内に、いくつのWordPressが存在しているかを確認しましょう。

確認する際は、次のような項目が重要です。

• サーバーに登録されているドメインやサブドメイン
• 公開ディレクトリ内にあるWordPressのファイル
• 過去のテスト用・検証用ディレクトリ
• WordPressのインストール履歴
• 使用していないデータベース
• 現在もアクセス可能な旧サイトのURL

WordPressは通常、wp-admin、wp-content、wp-includesなどのディレクトリを使用します。

これらが残っている場合、過去のWordPressのファイルが存在している可能性があります。

ただし、ファイルがあるだけで稼働中のWordPressとは限らないため、設定や公開状態を確認する必要があります。

現行サイトの管理画面だけを確認するのではなく、サーバー内のファイル構成まで確認することが重要です。

対処法② 不要な旧サイト・テストサイトを整理する

現在使用していないWordPressが見つかった場合は、削除や公開停止を検討しましょう。

ただし、古いディレクトリを見つけたからといって、すぐに削除するのは避けてください。

旧サイトのファイルやデータベースが、現在のホームページや別のシステムから参照されている場合もあります。

削除前には、次のような確認が必要です。

• 現在のホームページで使用していないか
• 他のサイトとデータベースを共有していないか
• 必要な画像やコンテンツが残っていないか
• 業務上、保存が必要なデータがないか
• バックアップを取得できているか

不要であることが確認できた場合は、WordPressのファイルや関連するデータベースを整理します。

保存が必要な場合は、バックアップを取得したうえで、公開ディレクトリの外など、インターネットから直接アクセスできない場所で適切に保管する方法もあります。

バックアップとして残すことと、古いWordPressを公開状態で放置することは別です。

対処法③ 残すサイトは更新・アクセス制限を行う

テストサイトや検証環境を今後も使用する場合は、現行サイトと同様にセキュリティ対策が必要です。

例えば、次のような対策が考えられます。

• WordPress本体を更新する
• プラグインやテーマを更新する
• PHPのバージョンを確認する
• 不要なプラグインやテーマを削除する
• Basic認証やIPアドレス制限などを設定する
• 管理者アカウントのパスワードを見直す
• 定期的なバックアップとセキュリティチェックを行う

特に、一般公開する必要がないテストサイトについては、アクセス制限を設定することをおすすめします。

ただし、Basic認証などのアクセス制限を設定しただけで、古いWordPressの脆弱性が修正されるわけではありません。

テストサイトであっても、継続して使用するのであれば、更新とアクセス制限を組み合わせて管理することが大切です。

制作会社を変更した場合も確認が必要

ホームページをリニューアルしたり、制作会社を変更したりした場合も、古いWordPressの取り扱いに注意が必要です。

新しいホームページが公開された後も、以前の制作会社が使用していたテスト環境や旧サイトのデータが、同じサーバー内に残っている場合があります。

また、新しい制作会社が現行サイトの保守管理を担当していても、過去のテストサイトや別ディレクトリまで管理対象に含まれているとは限りません。

例えば、

• 現在のホームページだけを更新している
• 旧サイトの存在を把握していない
• テスト環境が保守契約の対象外になっている
• サーバー全体の点検を長期間実施していない

といったケースが考えられます。

そのため、保守管理を依頼する際には、「現行サイトだけが対象なのか」「サーバー内の旧サイトやテスト環境も確認しているのか」を明確にしておくことが重要です。

ホームページのリニューアル時には、新しいサイトの公開だけでなく、旧サイトやテスト環境の整理まで含めて計画することをおすすめします。

まとめ｜WordPressのセキュリティ対策はサーバー全体で考える

WordPressのセキュリティ対策では、現在公開しているホームページを最新版に更新することが重要です。

しかし、それだけで十分とは限りません。

サーバー内に過去のテストサイトや旧ホームページが残っている場合、それらが攻撃対象になる可能性があります。

特に、何度もホームページをリニューアルしている企業や、制作会社を変更したことがある企業では、現在使用していないWordPressが残っていないか確認しておくことをおすすめします。

「現行サイトが最新だから安全」ではなく、「サーバー内に管理されていない古いWordPressが残っていないか」まで確認することが重要です。

大阪本町を拠点とするデザイン会社リバースでは、WordPressサイトの保守管理、PHP・WordPressのアップデート、サーバー移行、Webサイトのセキュリティ対策などに対応しています。

「昔のテストサイトがサーバーに残っているかもしれない」
「ホームページを何度もリニューアルしている」
「現在のサイトは更新しているが、サーバー全体の管理状況が分からない」

そんな場合は、お気軽にご相談ください。

株式会社リバースのホームページはこちら