それはですね、管理者が「WP Login OTP」「Login with Only OTP」など、4つのオプションを同時に有効にしていると、プラグイン内部の論理が「パスワード検証を飛ばす」ようになっているからです。LinuxでWordPressを運用している場合、プラグインの設定ファイルを確認する必要があります。wp-config.phpやプラグインの設定ページで、これらのオプションが本当に有効になっていないか、手動でチェックしてください。

最新バージョンへのアップグレードが必須です。プラグインの公式サイトやWordPressプラグインリポジトリで、5.5.5より新しいバージョンが公開されているか確認してください。また、変更管理の観点から、アップグレード前後で設定の変更履歴を記録し、万一の復旧に備える必要があります。

ログ監視ですね。アクセスログや認証ログに「mo_wp_login_intent=otp」のパラメータが出現していないか、定期的に確認しましょう。また、サードパーティのセキュリティツールやWordPressの監視プラグインを活用して、異常なログイン試行を検出する仕組みを構築するべきです。

この脆弱性は「miniOrange OTP Login」プラグインに限定されていますが、ベンダーの公式サポートページやセキュリティアドバイスを確認しないと、パッチの適用タイミングや影響範囲が不明になります。Linux運用者として、常に「どのプラグインが導入されているか」「どのバージョンか」を把握する習慣が重要です。

「設定の確認」と「パッチの適用」を同時に怠らないことです。この脆弱性は、設定ミスが原因で発生するため、単にバージョンアップするだけでなく、設定ファイルのレビューも欠かせません。また、セキュリティは「完璧な防衛」ではなく、「継続的な確認」の積み重ねだと、私は思います。