ソクラテス、まずは「Testimonials by BestWebSoft」がインストールされているかを確認するべきです。そして、そのバージョンが1.0.8以下かどうかを、wp-content/pluginsディレクトリ内を一覧して確認するのが第一歩です。これは、たとえ「重要ではない」と思えても、確認しないと次の手が打てません。

その点については、データベースのログをチェックする必要があります。たとえば、MySQLやPostgreSQLのログに「UNION SELECT」や「DROP TABLE」などの異常なクエリが記録されていないかを、grepやログ解析ツールで確認するべきです。また、セキュリティ監視ツールが異常なアクセスを検知していないかを、WAFやIDSのダッシュボードで確認するのも重要です。

もちろんです。プラグイン提供元の公式サイトや、WordPressのプラグインページで最新のバージョンが公開されているかを確認し、それが1.0.9以上であるかを確認してください。パッチ適用の際は、変更管理プロセスに沿ってテスト環境で動作確認をし、本番環境への適用を計画的に進めましょう。また、ベンダーの情報確認は、提供元が「BestWebSoft」であることを確認し、公式サポートが継続されているかを確認することで、将来的なリスクも軽減できます。

たとえ「CVSS6.8」という中程度の深刻度でも、攻撃者が認証不要でデータベースを操作できるという点は、あらゆる運用者にとって「即時対応」を余儀なくします。しかし、笑いながらも取り組むべきです。たとえば、「SQLインジェクションのリスク」を「データベースのロックをかけたままの鍵を無視する」と比喩すれば、少しは心が軽くなるかもしれません。

それは、開発者がパラメータのサニタイズを怠ったからです。しかし、運用者の我々には「それを修正する手段」が存在します。それが、パッチの適用と、継続的な監視です。また、この脆弱性が「WordPress」に限定されているため、Linux運用者にとっても、WordPressの管理が「セキュリティの要」であることを再認識する良い機会です。