それはですね、ソクラテス。たとえば、カスタムJSフィールドに{{GET:}}と「import」が組み込まれていなければ、この脆弱性は現実には発生しません。しかし、確認せずに放置しておくと、それらがどこにあるかわからず、万一のリスクが潜んでいます。これは、家の鍵をかけたつもりが、鍵穴に異物が挿入されていないかを確認するのと同じです。

パッチは「治療」ではなく「予防」です。製品提供元がパッチを公開しているか確認し、適用を怠ると、攻撃者が「リンクをクリックする」ような簡単な手順で悪意のコードを実行させられる可能性があります。これは、船の錆びた部分を放置して海に放つようなものです。

変更管理は「何が変わったか」を記録し、監視は「それが本当に安全か」をチェックするものです。たとえば、カスタムJSフィールドに新しいコードが追加された場合、それが{{GET:}}や「import」を含んでいないかを確認する必要があります。これこそが、日々の「セキュリティの点検」です。

ベンダーがパッチを公開していない場合、自社で対応策を考える必要があります。これは、医者に治療を依頼するのと同じです。情報がないと、病気が何であるかすらわからず、適切な薬を選ぶことができません。

それは「確認」です。プラグインのバージョンを確認し、カスタムJSフィールドの設定を確認し、ベンダーの情報を確認すること。それらを怠ると、まるで「目を閉じて歩く」ようなものです。せっかくの技術を、無駄にしないでくださいね。