ソクラテス、貴方は哲学の観点から問うが、私は現場の管理者として、まず「この機能が有効になっていないか確認する」ことが最優先です。プラグインの設定画面に「User Profile Builder」のインポート機能が有効になっていないか、確認してください。それが有効なら、4.0.1へのアップグレードが必要です。

その通りです。しかし、運用者は「導入済みの他の拡張機能の設定」を確認する義務があります。例えば、他のプラグインがデシリアライズを許容する設定をしている場合、POPチェーンが発生する可能性があります。その確認は、パッチ適用と同等に重要です。

まず「設定ファイルのインポート機能が有効かどうか」を確認し、次に「他のプラグインのデシリアライズ関連設定」を調査します。さらに、この脆弱性のCVSSスコアは6.6（中程度）ですが、影響範囲が限定的でも、パッチ適用は必須です。変更管理の文書に「4.0.1以上のバージョンへの更新」を記録してください。

監視は「設定ファイルのインポート処理の異常なアクセスログ」をチェックすることです。また、ベンダー情報確認では、プラグインの公式サイトに「設定ファイルのインポート機能の有効化」に関する注意喚起があるかを確認してください。

そうとも言えます。しかし、その積み重ねが、システムの安全を守る「倫理」なのです。さもなくば、WordPressの設定画面で「インポート機能が有効か」を確認するという、平凡なチェックを怠った結果、後日「PHPオブジェクトインジェクション」が発生するかもしれませんよ。