まずは、サーバーに「Contact Form Extender for Divi Builder」がインストールされているか、そしてそのバージョンが1.0.6以下のものかを確認する必要があります。wp-content/pluginsディレクトリをチェックし、プラグインのメタデータや変更履歴ファイルからバージョンを確認するのが手っ取り早いです。

もちろんです。まず、攻撃者がnonceを取得するためにwp_localize_scriptが使われていることを確認し、JavaScriptファイルやページソースでnonceが公開されていないかを調査する必要があります。次に、サーバーのファイル操作ログを監視し、異常な削除リクエストが記録されていないかをチェックします。また、変更管理の文書にこのプラグインの導入が記載されているかを確認し、過去のアップグレード履歴を照らし合わせるべきです。

パッチが公式から提供されているかを確認し、信頼できるソースからだけ導入する必要があります。また、パッチ適用後にプラグインの動作をテストし、他のプラグインやテーマとの互換性に問題がないかを確認しましょう。これは、脆弱性が修正されたにもかかわらず、新たな不具合を引き起こさないためです。

ベンダーの公式サイトやサポートフォーラムで、この脆弱性に対する対応状況を確認しましょう。また、セキュリティリリースノートを精査し、パッチが適用済みかを確認する必要があります。このとき、ベンダーが提供するリモート監視サービスや、セキュリティアップデートの自動配信機能の有無もチェックするべきです。

その通りです。ただし、この場合の哲学とは、単なる抽象論ではなく、「確認」「監視」「対応」という行動の連なりです。例えば、nonceが公開されていることを知ったとき、その「公開」が本当に必要だったのか、なぜそのスクリプトが存在するのかを問い直すことも重要です。ただし、それもまた、技術的な調査に基づいてこそ意味を持ちます。

wp-config.phpを守るためには、まずそのファイルが存在しているかを確認し、次に「なぜそのファイルが消されるのか」を問い直すことです。そして、その答えが「nonceが公開されているから」というとき、その公開をやめるか、公開を許容するなら、そのリスクを承知の上で運用するかを決めることです。つまり、最も重要なのは、ファイルの存在と、その公開の理由の両方を確認することです。もしもwp-config.phpが消えていたら、それは「哲学」ではなく、ただの「コードの実行」です。