古いCMSが危ない理由と、今日からできる点検のしかた

結論： CMS（ムーバブルタイプ、WordPressなど）は、更新されないまま放置すると、すでに知られている弱点を突かれやすくなります。まず、「何を使っていて、いつから更新していないか」を確認することから始めましょう。

なぜ、古いCMSは危ないのか？

CMSの弱点が見つかると、修正版が公開され、同時に、弱点の情報も広く知られます。 更新していないサイトは、その情報を使った攻撃を受けやすくなります。攻撃は、会社の規模や知名度を選ばず、弱点のあるサイトを自動的に探す形で行われます。

運営者向けの資料は、IPA（情報処理推進機構）が「安全なウェブサイトの作り方」などで公開しています。

古いCMSで、何が起きるのか？

• ページの改ざん：知らないうちに、内容が書き換えられる。
• 踏み台にされる：サイトが、他への攻撃やスパムの発信元に使われる。
• 信頼の低下：ブラウザの警告や、検索結果での注意表示で、訪問者が離れる。

今日からできる5つの点検

1. CMSとプラグインのバージョンを確認する。 管理画面や、サーバーの管理画面で確認できる。サポートが終了していないかも、公式サイトで調べる。
2. 管理画面のURLとログインを確認する。 推測されやすいURLのまま、弱いパスワードのまま、になっていないか。
3. HTTPSと証明書の期限を確認する。 ブラウザに警告が出ていないか。
4. 不要なファイルが残っていないか見る。 テスト用のページや、古いバックアップが、公開されたままになっていないか。
5. バックアップと担当者を確認する。 戻せる状態か。更新を見る人が決まっているか。

対処の選択肢

WEBXUSの場合： 当社のサイトも、長くムーバブルタイプで運営してきました。新着情報の更新は2017年6月で止まっていました。今回のリニューアルでは、旧サイトの公開ファイルを保存したうえで、管理画面を持たない静的サイトに移します（背景はムーバブルタイプを使い続けるリスクに書いています）。

よくある質問

Q. 自分のサイトが、古いCMSかどうか分かりません。
管理画面の下部に、CMS名とバージョンが出ていることが多いです。分からなければ、無料サイトチェックで、公開情報から確認できる範囲をお伝えします。

Q. 更新するだけで、安全になりますか？
更新は基本です。ただし、不要な機能の停止、パスワード、バックアップなども、あわせて必要です。

Q. ムーバブルタイプは、もう使えませんか？
サポートの状況は、バージョンごとに決まっています。保守が終わったバージョンには、修正版が提供されなくなります。お使いのバージョンの状況は、Six Apartの公式サイトにあるライフサイクルポリシーで確認できます。

Q. 静的サイトにすると、更新はどうなりますか？
管理画面での更新はできなくなりますが、記事を追加する手順を決めれば、更新できます。

Q. すでに被害を受けているかもしれません。
状況を確認したうえで、対応を一緒に考えます。まず、管理画面やサーバーのパスワードを変更し、契約しているサーバー会社に連絡してください。このとき、現状のファイルを上書きして消さずに、残しておくことが大切です。原因を調べる前にバックアップを取り直したり、作り直したりすると、侵入経路が分からなくなることがあります。詳しくは、サイトが改ざんされたかもしれないときの対応も参考にしてください。

まとめ

古いCMSの問題は、「放置」が原因で起きます。まず、使っているものと、更新の状況を確認しましょう。サイトの状態を、無料でチェックしませんか？