それは、ドアの管理者に責任があるでしょう。しかし、このケースでは、ドア自体が「鍵を必要としない」設計になっていて、それが問題です。プラグインの開発者が、認証を強制する仕組みを欠いていたのです。

その通りです。まず、wp-content/plugins/Booking for Appointments and Events Calendar/のディレクトリにあるREADME.txtやversion.phpを確認し、2.4.9以上かをチェックする必要があります。また、WordPressの「プラグイン」画面で「バージョン」を表示する機能を使うのも手です。

パッチ適用です。ただし、単に「最新版に更新する」だけでは十分ではありません。変更管理の観点から、更新前の環境と更新後の環境の差分を比較し、特に「予約処理に関連するログの出力」や「外部連携のコールバック設定」が変更されていないかを確認する必要があります。

たとえば、予約完了後の通知や外部サービスへのリクエストが不正に発生した場合、ログに異常なIPアドレスやリクエストペイロードが残る可能性があります。それらを定期的に監視し、異常がないかを確認する習慣が必要です。また、外部連携の設定が不要な場合は、即座に無効化することも検討すべきです。

開発元の公式サイトや、WordPressプラグインリポジトリで「サポート」や「更新履歴」を確認し、今後もセキュリティアップデートが継続されているかを判断する必要があります。この脆弱性のCVSSスコアが6.5という中程度の深刻度でも、放置は危険です。

「鍵を必要としないドア」を確認し、更新を検討し、ログを監視し、外部連携を見直し、ベンダーの信頼性を再確認する。それが、運用者の義務です。ただし、この脆弱性は「鍵を忘れたドア」に過ぎず、すぐに修理できます。慌てず、しかし確実に。