WordPress（ワードプレス）が4.0.1に自動更新。XSS（クロスサイトスクリプティング）攻撃のおそれを回避

1年以上前の記事です。内容が古い可能性があります。

人気のCMS「WordPress（ワードプレス）」、オープンソースと言うのは売りですが、
動作が遅いというのとセキュリティ上問題が多いという難点があるのは否めません。

とは言え、セキュリティホールに対しての更新が早いのも売りだったりするわけです。
もちろん、セキュリティホールがないのが一番なんでしょうけれど。。

そんなWordPressにXSS（クロスサイトスクリプティング）のセキュリティホールがあったようです。
□ WordPress、深刻な脆弱性を修正　XSS攻撃の恐れ – ITmedia エンタープライズ

ただ、ニュースになった時には既に解決されていました。
いつからか、WordPressに自動更新のシステムが付いたようでして、さらに、ディフォルトでそれがONになっているみたいです。

今朝方、こんなメールが届きまして、

気づいたら、セキュリティホール対策された4.0.1にアップデートされていました。

ただ、逆に考えるとこれを悪用されると怖いなぁなんてふうにも思ったりして。。

ちなみに、自動更新を切るのは結構大変でして、config.phpに以下のdefineを追記してあげないといけません。

define( 'AUTOMATIC_UPDATER_DISABLED', true );

via : [Å] WordPressでONになった自動アップデートを停止する方法 | あかめ女子のwebメモ.

WordPressをバリバリカスタマイズして使っているような人は念のため、自動更新は切っておいたほうがいいかもしれませんね。

といったところでひとまず安心といったところでしょうが、まあ、イタチごっこなんでまたなにか出てくるでしょうね。
システムに便利を追加すれば、その影の部分を付く人が出てきて、さらにその影対策として機能を追加すればそのまた影の部分を付く行為が生まれる。

こうして経済は回っていくわけですね。（飛躍w）