先生、そもそも WordPress って何がそんなに危ないんですか?
世界中で使われてるなら、むしろ安全そうなのに。

WordPress 自体が悪いわけじゃないんです。
問題は「サーバーの上で常にプログラムが動いている」こと。

WordPress は PHP というプログラムとデータベースでできていて、
ページを開くたびにサーバーでプログラムが実行されます。

ふむふむ。それの何がまずいんです?

プログラムには必ず欠陥が見つかります。これが「脆弱性」。
見つかるたびに修正版が出るので、更新し続ければ安全を保てます。

逆に言うと、更新を止めた瞬間から
「破り方が公開された鍵」を使い続けることになるんです。

こ、公開!?　破り方が公開されるんですか!?

脆弱性の情報は対策のために世界中で共有されます。
守る人にも、攻撃プログラムを作る人にも見えるんですよ。

しかも狙われるのは本体だけじゃありません。
テーマとプラグイン。むしろこっちが本命です。

プラグイン、便利だから10個くらい入れました。
お問い合わせフォームとか、スライドショーとか。

その10個、全部が別々の作者のプログラムです。
作者が開発をやめて、更新が来なくなるものも珍しくありません。

実際、WordPress サイトで見つかる脆弱性の大部分は
プラグインとテーマ由来と言われています。

乗っ取られたら、何をされるんですか?

ページの改ざん、ウイルス配布、詐欺ページの設置、
迷惑メールの発射台、他のサイトへの攻撃の踏み台…。

一番怖いのは、見た目は普通のままで
裏でお客さんを攻撃するパターン。気づけないんです。

うちのお客さんが被害者に…!?　加害者はうちのサイト!?

そうなってからでは信用を取り戻すのは大変です。
次回は「じゃあ更新し続ければいいのか」という話をしましょう。

え、更新すればいいだけじゃないんですか…?

それが、そう簡単でもないんですよ。ふふ。