※この記事にはプロモーション（アフィリエイト広告）が含まれています。
📝 この記事でわかること
- ✓前編で焦ったPHPの脆弱性、その後どうなった？
- ✓プラグインの更新は、どう進めればいい？
- ✓「カスタマイズがすべて失われます」と表示されたら？
- ✓AIを使ってブログを安全に管理するには？
こんにちは、もりらんくるです。
前編は、嵐のように押し寄せてきたサイバー攻撃から、個人ブログをどうやって守るのか。AIと一緒に、サーバー側の設定を点検したお話でした。
後編では、その具体策として、WordPress本体やプラグイン、テーマの更新に取り組みます。
更新ボタンを押すだけなら簡単。一方で、それが原因でブログの表示が崩れたら……と思うと、つい躊躇してしまいますよね。
そのため、今回もAIに画面を見せながら、一つずつ進めていきました。
AIがなかったら、きっとあたふたしていたに違いありません（笑）
まずは前編のおさらい
前編のおさらい
- ✓ConoHa WINGのWAFがOFFだった → ONにした
- ✓WordPressセキュリティ（ログイン制限など）は、ほぼ設定済みだった
- ✓自動バックアップは、毎日取られていた
- ✓WordPressを更新しても、PHPの脆弱性は直らないと知った
今回は、いよいよWordPress側の更新作業です。
PHPの脆弱性、その後どうなった？
前編では、私のブログのPHPが「8.3.35」で、修正版として紹介されていた「8.3.36」より前の番号だったため、心配になったことをお伝えしました。
その後、ConoHa WINGから「対応完了のお知らせ（終報）」が届いていました！
お知らせによると、10月22日20時45分に、すべてのサーバーへの修正が完了したとのこと。
修正済みのバージョン一覧には、私が使っていた「8.3.35」も含まれていました。
ConoHa WINGでは、PHPのバージョン番号を変更せず、修正プログラムを適用する方法が取られていたそうです。
つまり、バージョン番号が変わっていなくても、修正が適用されている場合があるということ。
これで……ひと安心です（笑）
番号だけを見て慌てるのではなく、サーバー会社の公式なお知らせも確認する。今回の大切な教訓になりました。
古いプラグイン4つを更新
ここからは、WordPress側の作業です。
前編で確認したとおり、更新待ちのプラグインが4つありました。
正直、プラグインの更新なんて気に留めていなかったのですが……これも反省ですね。
更新したプラグイン
正直、不安だったので（笑）、更新前にAIに「まとめて更新しても大丈夫？」と相談しました。
まず確認したのは、バックアップがあること。万が一、更新後に不具合が起きても、元の状態に戻せるようにしておくためです。
今回は4つを一括更新しました。
- プラグイン一覧で対象の4つを選択
- 「一括操作」から「更新」を選択
- 「適用」をクリック
たった1分ほどで、4つとも更新が完了しました。
更新中は、処理が終わるまで画面を閉じたり、別のページへ移動したりしないようにしましょう。
また、プラグインによっては不具合が起きる可能性もあります。更新前にバックアップを確認し、更新後はブログの表示や主要な機能が正常に動くか確かめることが大切です。
WordPress本体は最新だった
続いて、「ダッシュボード」→「更新」を開きました。
私のブログでは、WordPress本体は7.1.3で、画面には「最新バージョンのWordPressをお使いです」と表示されていました。
本体は自動更新の設定になっており、更新が適用されていたようです。
前編で紹介したWordPress本体の脆弱性「wp2shell」は、7.0.2などで修正されています。7.1.3はそれより新しいバージョンなので、私のブログはすでに修正済みの状態でした。
なお、「再インストール」は今回の作業では必要ありませんでした。
SWELLの更新は、子テーマを確認してから
更新画面には、もう1件、テーマの「SWELL」が残っていました。
バージョンは2.16.0から2.19.0への更新です。
そこで目に入ったのが、この注意書きでした。
「テーマに加えたカスタマイズがすべて失われます」
……おいおい。じゃあ、今までのデザインが全部消えるの？
慌ててAIに相談すると、こんな返事がありました。
「まだ更新ボタンは押さないでください。先に、今使っているテーマが『SWELL CHILD（子テーマ）』かどうか確認しましょう」
子テーマとは？
「外観」→「テーマ」を開いて確認すると……。
有効になっていたのは「SWELL CHILD」でした。
子テーマを使っていれば、親テーマのSWELLを更新しても、子テーマ側に保存したカスタマイズは基本的に引き継がれます。
ただし、親テーマのファイルを直接書き換えていた場合などは、その部分が失われる可能性があります。子テーマを使っているからといって、すべての変更が必ず残るわけではありません。
今回は子テーマが有効になっていることを確認し、更新前のバックアップも確認したうえで、SWELLの「今すぐ更新」を押しました。
もし子テーマかどうかも確認しないまま、自分ひとりの判断で「更新」ボタンを押していたら……。
想像すると恐ろしいです。
無事、更新完了です！
SWELLを検討している方へ
このブログで使っているWordPressテーマ「SWELL」は、開発元による更新が提供されています。
導入時には、親テーマと子テーマをセットでインストールし、子テーマを有効にしておくと、カスタマイズを管理しやすくなります。
※テーマの更新前には、子テーマの設定だけでなく、独自に変更したファイルや設定も確認しておきましょう。
サイトヘルスが「改善が必要」から「良好」に
更新作業の前、WordPressの「サイトヘルス」は「改善が必要」と表示されていました。
更新が終わってから、「ツール」→「サイトヘルス」を確認してみると……。
「良好」に変わっていました！
ただし、画面には「4件のおすすめの改善」も残っています。
AIと一緒に内容を確認しました。
サイトヘルスの「おすすめの改善」4件
サイトヘルスには、テーマやデータベース、キャッシュなど、さまざまな改善項目が表示されます。
すべてを機械的に実行すればよいわけではありませんが、反対に「おすすめだから無視してよい」とも限りません。
それぞれの内容を確認し、自分のサーバー環境で対応できるか、対応するメリットがあるかを判断する必要があります。
今回の私の環境では、ステータスが「良好」になったことを確認できました。残っている改善項目については、内容を理解したうえで、必要性を判断していきます。
更新後は、ブログの表示も確認
更新が終わったら、最後に表示を確認します。
トップページと記事を1〜2本開き、デザインやリンクなどに問題がないかチェックしました。
いつもどおりの表示で、ひと安心です。
もし不具合が起きた場合は、バックアップから復元できる可能性があります。ただし、復元できる日時や対象データは環境によって異なります。復元操作を行う前に、対象と影響範囲を確認しましょう。
おまけ：英語のお知らせ、どうする？
更新後、管理画面に英語のお知らせが3つ表示されました。
英語が全然ダメな私には、何が書いてあるのかさっぱり分かりません。
そこでAIに訳してもらうと、寄付やレビューのお願い、ベータ版への参加案内、自動更新のおすすめなどでした。
ベータ版は開発途中の試作版です。必要がなければ、無理に参加する必要はありません。
ただし、通知の内容やボタンの意味は、プラグインによって異なります。よく分からないボタンは、翻訳して内容を確認してから判断するのが安全です。
英語の通知を何となくクリックする前に、AIに聞いてみる。これも、初心者にできる工夫の一つです。
50代初心者の「AI防御術」
前編・後編を通して、AIを活用するコツが見えてきました。それらを簡単にまとめてみました。
50代初心者の「AI防御術」
- 🛡① ニュースを見たら「自分に関係ある？」と聞く
- 🛡② 分からない画面は、スクリーンショットで相談する
- 🛡③ ボタンを押す前に、何が起きるか確認する
- 🛡④ 英語の通知は、翻訳してから判断する
- 🛡⑤ 最後は公式情報で確かめる
① ニュースを見たら「自分に関係ある？」と聞く
難しいセキュリティのニュースも、AIに相談すれば、自分のブログで何を確認すればよいか整理できます。
② 分からない画面は、スクリーンショットで相談する
実際の画面を見せながら質問できるのは、AIの便利なところです。
ただし、送信前にメールアドレスなどの個人情報が写っていないか確認しましょう。
③ ボタンを押す前に、何が起きるか確認する
更新、初期化、復元など、影響の大きい操作は、実行前に内容を理解しておきましょう。
④ 英語の通知は、翻訳してから判断する
意味が分からないまま、ボタンを押さないこと。必要な操作なのかを確認してから進めます。
⑤ 最後は公式情報で確かめる
AIの説明だけで判断せず、サーバー会社やWordPressの公式情報も確認します。
AIを使うときに守りたいこと
- パスワードや認証コードはAIに入力しない
- スクリーンショットに個人情報が写っていないか確認する
- 更新前にはバックアップを確認する
- 実際に操作するのは自分。最後は自分の目で確認する
AIは便利な相談相手ですが、すべてを正しく判断できるわけではありません。安全に使うためにも、最終確認を忘れないようにしましょう。
これからの習慣：月1回のセキュリティ点検
今回の作業を、毎月のチェックリストにまとめました。
月1回のセキュリティ点検チェックリスト（ConoHa WINGの場合）
- □ConoHa WINGのWAFがONになっているか
- □自動バックアップが取得されているか
- □WordPress本体・プラグイン・テーマに更新がないか
- □更新前にバックアップを確認したか
- □テーマの更新前に、子テーマや独自カスタマイズを確認したか
- □更新後に、トップページや記事の表示を確認したか
- □サイトヘルスの状態を確認したか
- □サーバー会社から重要なお知らせが届いていないか
月に1回、5分でも管理画面を確認する習慣をつけたいと思います。
まとめ｜AIの盾は、使い方しだい
前編・後編を通して、AIと一緒にブログのセキュリティを点検してきました。
- サーバーのWAFがOFFだったため、ONに変更した
- 更新待ちのプラグイン4つを更新した
- PHPは番号だけで判断せず、サーバー会社のお知らせを確認した
- SWELLは子テーマとバックアップを確認してから更新した
- サイトヘルスの状態と、更新後の表示を確認した
どれも、パソコンに詳しくない50代の私が、AIに画面を見せながら進めた作業です。
攻撃する側がAIを矛にするなら、守る側もAIを盾にすればいい。
ただし、その盾を構えるのは、あくまで自分自身です。
ボタンを押す前に、ちょっとAIに聞いてみる。
その一手間が、ブログを安全に運営するための助けになると感じました。
皆さんも、まずは管理画面を開いて、更新状況を確認するところから始めてみてはいかがでしょうか。
参考情報
- WordPress 7.1.3 メンテナンス・セキュリティリリース（WordPress.org）
- PHPの「緊急」レベルの脆弱性、開発元が修正バージョン公開（ITmedia NEWS）
- PHPの重大な脆弱性「php2shell」の概要と対応指針（GMO Flatt Security Blog）
📌 このブログで使っているレンタルサーバー
himemarumo.comはConoHa WINGで運営しています。表示速度が速く、WordPressの設定も簡単で、54歳の私でも迷わず使えました。月額料金も安く、初期費用無料のキャンペーンもあります。
ConoHa WINGを見てみる →
📌 このブログで使っているWordPressテーマ
himemarumo.comのデザインはSWELLを使っています。コードの知識がなくても直感的にカスタマイズでき、表示速度も速い。54歳の私でも迷わず使えた国産テーマです。
SWELLを見てみる →
コメント