- SERVICE
Webサイト・CMSの保守管理・運用
- WORKS
- ABOUT US
- NEWS & COLUMN
- RECRUIT
皆さんこんにちは。taneCREATIVEの「ちほうタイガー」です。
この記事は2024年10月8日に執筆しています。
今回はAdmin Menu Editorのバージョンと脆弱性への対応状況についてまとめてみたいと思います。
Admin Menu Editorは、Janis Elstsによって開発・サポートされている、WordPress向けの管理メニューカスタマイズプラグインです。
WordPressのPlugin Directoryの統計情報によると、アクティブインストールは40万以上、総ダウンロード数650万回以上を計測しており、有名なプラグインの一つと言ってよいでしょう。
Web制作会社である当社も、WordPressを選択する際には、ほぼ必須レベルで使用させていただいております。
一方で、有名なプラグインであるがゆえに狙われやすい側面もあり、クライアントより脆弱性について質問されることがあります。
そこで、この記事では、企業のWeb担当の皆様に向けて、Admin Menu Editorの概要並びに、脆弱性及びその対応状況をご紹介することで、Admin Menu Editor自体については安心して使用していただけるようにしたいと思います。
少しでも皆様のお役に立てる記事にできればと思います。
どうぞよろしくお願い致します。
前述の通り、Admin Menu Editorは、Janis Elstsが開発・サポートを継続している、オープンソースのWordPress向け管理メニューカスタマイズプラグインです。
WordPressの管理メニューを柔軟にカスタマイズすることで、管理画面をユーザーの役割やニーズに合わせて整理し、操作をシンプルで効率的にすることができます。
特に、特定のユーザーグループに対して、運用時に不要なメニューを非表示にすることで、運用面で使いやすくするだけでなく、誤って設定を変更してしまったりするリスクを低下させることができます。
メニュー項目の表示・非表示 | 任意のメニューやサブメニューを簡単に非表示にしたり、再表示させたりする機能です。 メニュー項目の表示・非表示機能を活用することで、WordPress管理画面をシンプルに整理でき、特に不要なメニューを非表示にすることで、運用中の混乱や誤操作を防止できます。 |
メニューの並び替え | メニュー項目をドラッグ&ドロップで簡単に並び替え、使いやすい順に配置できる機能です。 メニューを使用頻度順に配置することで、管理画面をより直感的・効率的に使用できるようになり、運用時の作業効率を向上させることができます。 |
メニュー名の変更 | 既存のメニュー項目の名前を変更する機能です。 標準のメニュー名がわかりにくい場合や特定の名称を利用したい等の場合には、この機能を利用することでWordPressの管理画面を運用し易いように整理でき、業務効率を向上させることができます。 |
ユーザー権限に基づく メニュー制御 |
特定のユーザー役割や権限に基づいて、表示するメニューを制限できる機能です。 これにより、管理者以外には不要なメニューを隠し、誤操作を防ぐことができます。 |
カスタムメニューの追加 | オリジナルのメニューやサブメニューを追加し、外部サイトや内部のカスタムページへのアクセスを可能にする機能です。 よくあるケースとしては、Google AnalyticsやSearch Consoleなどの分析サイトへの導線を設置したり、CRMへの導線を設置したりする等があります。 |
メニューアイコンの変更 | WordPress管理画面の各メニューに表示されるアイコンをカスタマイズできる機能です。 標準のアイコンがわかりにくい場合や複数のカスタムメニューを追加した等の場合には、この機能を利用することで視覚的にわかりやすく整理された管理画面を作成できます。 |
インポート・エクスポート機能 | 管理画面のメニュー設定を他のWordPressサイトに簡単に移行できる機能です。 これにより、一度作成したカスタムメニュー構成を複数のサイトで共有することができます。 |
前述のように、有名なプラグイン(ダウンロード数が多いプラグイン)は、攻撃のターゲットとして狙われやすいという側面があります。
当社では、WordPress自体は非常に堅牢なCMSであり、バージョンアップをしっかりと行えば大きな侵入のリスクは少ないと考えています。
実際に、WordPress本体(コア)の脆弱性の数はプラグインやテーマに比べて少なく、特に最近では緊急レベルの脆弱性報告は減少しています。
※詳細は、当社が公表しているWordPressの脆弱性情報一覧を参照してください。
一方で、膨大な数のプラグインやアドオンが存在し、それらの脆弱性を狙った攻撃が増加しています。
特に有名なプラグインは、多くのユーザーに利用されているため、脆弱性が発見された場合、そのプラグインを狙った攻撃が集中する可能性があります。
※「20 WordPress Statistics You Should Know in 2023」によれば、WordPressに関連する脆弱性の約90%はプラグインに、6%はテーマに、残りの4%はWordPressコアに起因しているとのこと。
そのため、Admin Menu Editorのように定期的にアップデートされ、脆弱性が迅速に修正されることは、セキュリティ対策の観点から非常に重要です。
当社では、脆弱性に対する対応が遅い、もしくは対応しないプラグインは、クライアントに推奨していません。
公式サイトに直接的な記載はありませんでしたが、Admin Menu Editorには、一般的なセマンティックバージョニングが採用されているようです。
3つの数字の左から「メジャーバージョン.マイナーバージョン.パッチバージョン」となります。
2024年10月8日現在、Admin Menu Editorの最新バージョンは1.12.4であり、WordPress6.6.2までテストされています。
公式には明言されていませんが、公式のサポート(新機能の追加、不具合の改修、セキュリティパッチの提供)対象は最新パッチバージョンのみであり、1.12以下のバージョンには既知の脆弱性がある可能性がありますので、1.12.4へのアップデートをお勧めします。
2024年10月8日現在での、Admin Menu Editorのバージョン情報は次の通りです。
Admin Menu Editorのバージョン | リリース日 | サポート期限 | 修正された脆弱性 |
1.12.4 | 2024年7月16日 | サポート中 | - |
1.12.3 | 2024年7月2日 | 2024年7月16日 | - |
1.12.2 | 2024年5月13日 | 2024年7月2日 | - |
1.12.1 | 2024年1月19日 | 2024年5月13日 | CVE-2024-24876 |
1.12 | 2023年10月17日 | 2024年1月19日 | - |
1.0.5 | - | - | CVE-2022-0625 |
※上記の内容は、WordPressのAdmin Menu Editor Developer Logの情報を正として、バージョン1.12までを掲載しています。
※バージョン1.12以下には既知の脆弱性が存在するため、グレーにしています。
Admin Menu Editorに最新バージョンは1.12.4であり、当社が把握している全ての脆弱性に修正対応済みとなっています。
また、Admin Menu Editor 1.12以下のバージョンをご使用の場合には、既知の脆弱性が存在する可能性がありますので、最新バージョンへとアップデートをしてください。
なお、Admin Menu Editor自体に関する脆弱性情報で、当社が把握しているものは次の通りです。
脆弱性情報 | 深刻度 | 影響を受けるバージョン | 修正されたバージョン |
CVE-2024-24876 CVE-2024-24876 detail |
CVSS v3 4.3 (警告) |
・Admin Menu Editor 1.12までのバージョン | ・Admin Menu Editor 1.12.1 |
CVE-2022-0625 JVNDB-2022-010976 |
CVSS v3 6.1 (警告) |
・Admin Menu Editor 1.0.4までのバージョン | ・Admin Menu Editor 1.0.5 |
※脆弱性情報については、情報セキュリティにおける脆弱性情報に付けられている番号であるCommon Vulnerabilities and Exposures(本記事では「CVE」とします)の順序に従って掲載しています。
※深刻度については、共通脆弱性評価システムCVSS v3に基づいています。本記事では、CVSS v3にて緊急(9.0~10.0)、重要(7.0~8.9)、警告(4.0~6.9)に区分されるもののみを掲載しており、その他の情報については、JVN iPediaなどでご確認ください。CVSS v3の適用前の脆弱性情報についてはCVSS v2に基づいて記載しています。
※深刻度の数値はJapan Vulnerability Notes(本記事では「JVN」とします)及び、JVNが評価を合わせている米国国立標準技術研究所(NIST)が運営する脆弱性データベースであるNational Vulnerability Database(以下「NVD」)に準拠しています。ただし、CVE-2024-24876については、NVDにて未分類であるためPatchstackのスコアを記載しています。
※本記事における脆弱性情報は、当社が把握しているものだけであり、全ての脆弱性情報を網羅できているかはわかりません。
※本記事における脆弱性情報をご利用になる場合には、必ずCVE、JVN、NVDなどの情報を確認されたうえで、自己責任でご利用ください。
前述のように、Admin Menu Editorは名の知られたプラグインであり、Web制作の現場でWordPressを利用する場合には、よくお世話になるプラグインです。
しかしながら、Admin Menu Editor自体のバージョンアップをしようと思っても、WordPressやPHPのバージョンアップが必要であったり、設定が複雑であるなどの問題に直面することもあるかと思います。
taneCREATIVE社は、「リモートによるWebアプリケーションのセキュリティ対策をパッケージ化、首都圏大手企業に提供」している点が評価され、2021年にJ-Startup NIIGATAに選定されているWeb制作会社で、Admin Menu EditorとWordPressはもちろんのこと、PHP、MySQL、MariaDBについてもノウハウを有しています。
※「J-Startup NIIGATA」とは、経済産業省が2018年に開始したJ-Startupプログラムの地域版として、新潟発のロールモデルとなるスタートアップ企業群を明らかにし、官民連携により集中的に支援する仕組みを構築することで、新潟県におけるスタートアップ・エコシステムを強化する取組です。
Admin Menu Editorでの管理メニューカスタマイズやアップデートを含む保守管理に関しては、こちらのお問合せよりお気軽にご相談ください。
taneCREATIVEに所属する謎のトラ。