- SERVICE
Webサイト・CMSの保守管理・運用
- WORKS
- ABOUT US
- NEWS & COLUMN
- RECRUIT
皆さんこんにちは。taneCREATIVEの「ちほうタイガー」です。
この記事は2024年10月16日に執筆しています。
今回はXML Sitemap Generator for Googleのバージョンと脆弱性への対応状況についてまとめてみたいと思います。
XML Sitemap Generator for Googleは、ウェブサイトのXMLサイトマップを自動生成し、検索エンジン(特にGoogle)に送信するプラグインであり、Arne Brachholdによって開発されましたが、現在はW3 EDGE, LLC社によるAuctolloというチームによって開発・サポートされています。
WordPressのPlugin Directoryの統計情報によると、アクティブインストールは100万以上、総ダウンロード数は4077万回以上を計測しており、人気があるプラグインの一つと言ってよいでしょう。
Web制作会社である当社も、WordPressサイトの場合には、よく使用させていただいております。
一方で、人気が高いほど攻撃対象になるリスクもあるため、脆弱性への適切な対応が重要になります。
実際にXML Sitemap Generator for Googleの脆弱性は過去見つかっており、サポートチームは迅速に対応しています。
この記事では、企業のWeb担当の皆様に向けて、XML Sitemap Generator for Googleの概要並びに、脆弱性及びその対応状況をご紹介することで、XML Sitemap Generator for Google自体については安心して使用していただけるようにしたいと思います。
少しでも皆様のお役に立てる記事にできればと思います。
どうぞよろしくお願い致します。
前述の通り、XML Sitemap Generator for Googleは、W3 EDGE, LLC のチーム Auctollo によって開発・サポートされているオープンソースのWordPressプラグインです。
このプラグインを使用すると、ページ、カスタム投稿タイプ、タクソノミーを含むWebサイト全体のURL構造をリスト化し、XML、HTML、RSS形式のサイトマップを簡単に生成できます。
WordPress 5.5以降、簡易的なXMLサイトマップ生成機能が実装されていますが、XML Sitemap Generator for Googleでは、優先度や更新頻度、更新日時などの詳細設定が可能で、より柔軟に検索エンジンへの送信を行えます。
当初は「Google XML Sitemaps」として公開されましたが、その後「XML Sitemaps」と変更され、現在は「XML Sitemap Generator for Google」という名称で提供されています(なお、現在のArne Brachholdのサイトでは、Google (XML) Sitemap Generatorと記載されています)。
自動XMLサイトマップ生成 |
Webサイトのすべてのページ、カスタム投稿タイプ、タクソノミー(カテゴリやタグ)を自動的に検出し、XMLサイトマップを生成できます。 生成されたXMLサイトマップを、Google、Bing、Yandex、Baidu などの検索エンジンに手動で送信することで、インデックスとクロールを促すことができます。 バージョン4.0.0以降、このXMLサイトマップは動的に生成され、コンテンツが追加されるとXMLサイトマップにも自動的に追加されます。 |
詳細設定機能 |
各ページや投稿に対して、検索エンジンがそのページをどの程度重要視すべきかを示す「優先度」や、どれくらいの頻度で更新されるかを示す「更新頻度」、および「更新日時」を設定できます。 また、robots.txtファイルをカスタマイズし、特定のページや投稿を検索エンジンのインデックスから除外することが可能です。 |
前述のように、人気のあるプラグイン(ダウンロード数が多いプラグイン)は、攻撃のターゲットとして狙われやすいという側面があります。
当社では、WordPress自体は非常に堅牢なCMSであり、バージョンアップをしっかりと行えば大きな侵入のリスクは少ないと考えています。
実際に、WordPress本体(コア)の脆弱性の数はプラグインやテーマに比べて少なく、特に最近では緊急レベルの脆弱性報告は減少しています。
※詳細は、当社が公表しているWordPressの脆弱性情報一覧を参照してください。
一方で、膨大な数のプラグインやアドオンが存在し、それらの脆弱性を狙った攻撃が増加しています。
特に有名なプラグインは、多くのユーザーに利用されているため、脆弱性が発見された場合、そのプラグインを狙った攻撃が集中する可能性があります。
※「20 WordPress Statistics You Should Know in 2023」によれば、WordPressに関連する脆弱性の約90%はプラグインに、6%はテーマに、残りの4%はWordPressコアに起因しているとのことです。
実際に、XML Sitemap Generator for Googleには過去複数の脆弱性が見つかっており、サポートが個人の力に依存していた際には、迅速に修正されたとは言えない時期もありました。
しかしながら、現在はW3 EDGE, LLCという企業によってサポートされており、脆弱性にも対応されています。
当社では、脆弱性に対する対応が遅い、もしくは対応しないプラグインは、クライアントに推奨していません。
公式サイトに直接的な記載はありませんが、XML Sitemap Generator for Googleは、通常のセマンティックバージョニングに準拠し、左からメジャーバージョン、マイナーバージョン、パッチバージョンの3つの数字で構成されています。
2024年10月16日現在、XML Sitemap Generator for Googleの最新バージョンは4.1.21であり、WordPress6.6.2までテストされています。
通常のオープンソースソフトウェアでは、公式のサポート(新機能の追加、不具合の改修、セキュリティパッチの提供)は最新パッチバージョンのみを対象としており、XML Sitemap Generator for Googleでも同様の対応が行われていると考えられます。
バージョン4.1.1以下には既知の脆弱性があるため、最新のパッチバージョンへのアップデートを実施してください。
2024年10月16日現在での、XML Sitemap Generator for Googleのバージョン情報は次の通りです。
バージョン | リリース日 | サポート期限 | 修正された脆弱性 |
4.1.21 | 2024年4月21日 | サポート中 | - |
4.1.20 | 2024年4月14日 | 2024年4月21日 | - |
4.1.19 | 2024年1月31日 | 2024年4月14日 | - |
4.1.18 | 2024年1月12日 | 2024年1月31日 | - |
4.1.17 | 2024年1月5日 | 2024年1月12日 | - |
4.1.16 | 2023年12月18日 | 2024年1月5日 | - |
4.1.15 | 2023年12月14日 | 2023年12月18日 | - |
4.1.14 | 2023年12月5日 | 2023年12月14日 | - |
4.1.13 | 2023年8月4日 | 2023年12月5日 | - |
4.1.12 | 2023年8月2日 | 2023年8月4日 | - |
4.1.11 | 2023年5月19日 | 2023年8月2日 | - |
4.1.10 | 2023年4月24日 | 2023年5月19日 | - |
4.1.9 | 2023年4月12日 | 2023年4月24日 | - |
4.1.8 | 2023年3月31日 | 2023年4月12日 | - |
4.1.7 | 2022年11月24日 | 2023年3月31日 | - |
4.1.6 | 2022年11月23日 | 2022年11月24日 | - |
4.1.5 | 2022年6月14日 | 2022年11月23日 | - |
4.1.4 | 2022年6月6日 | 2022年6月14日 | - |
4.1.3 | 2022年5月31日 | 2022年6月6日 | - |
4.1.2 | 2022年4月15日 | 2022年5月31日 | CVE-2021-25088 |
4.1.1 | 2022年4月7日 | 2022年4月15日 | - |
4.1.0 | 2018年12月18日 | 2022年4月7日 | CVE-2018-16204 |
3.2.9 | 2013年1月11日 | 2013年9月28日 | Wordfence |
※上記の内容は、WordPress公式の開発ページの情報を正として、バージョン4.1.0までを掲載しています。また、それ以前のバージョンについては、下記脆弱性が修正されたバージョンを追記しています。
※バージョン4.1.1以下には既知の脆弱性が存在するため、グレーにしています。
XML Sitemap Generator for Googleの最新バージョンは4.1.21であり、当社が把握している全ての脆弱性に修正対応済みとなっています。
また、XML Sitemap Generator for Google 4.1.1以下のバージョンをご使用の場合には、既知の脆弱性が存在する可能性がありますので、最新バージョンへとアップデートをしてください。
なお、XML Sitemap Generator for Google自体に関する脆弱性情報で、当社が把握しているものは次の通りです。
脆弱性情報 | 深刻度 | 影響を受けるバージョン | 修正されたバージョン |
CVE-2021-25088 JVNDB-2022-015047 |
CVSS v3 4.8 (警告) |
・XML Sitemap Generator for Google 4.1.1までのバージョン | ・XML Sitemap Generator for Google 4.1.2 |
CVE-2018-16204 JVNDB-2018-000135 |
CVSS v3 4.8 (警告) |
・XML Sitemap Generator for Google 4.0.9までのバージョン | ・XML Sitemap Generator for Google 4.1.0 |
Wordfence Arne Brachhold |
CVSS v3 7.2 (重要) |
・XML Sitemap Generator for Google 3.2.8までのバージョン | ・XML Sitemap Generator for Google 3.2.9 |
※脆弱性情報については、情報セキュリティにおける脆弱性情報に付けられている番号であるCommon Vulnerabilities and Exposures(本記事では「CVE」とします)の順序に従って掲載しています。CVEの番号が採番されていない脆弱性情報については、Wordfenceなどの情報へのリンクを掲載しています。
※深刻度については、共通脆弱性評価システムCVSS v3に基づいています。
※本記事では、CVSS v3にて緊急(9.0~10.0)、重要(7.0~8.9)、警告(4.0~6.9)に区分されるもののみを掲載しています。
※深刻度の数値はJapan Vulnerability Notes(本記事では「JVN」とします)及び、JVNが評価を合わせている米国国立標準技術研究所(NIST)が運営する脆弱性データベースであるNational Vulnerability Database(以下「NVD」)に準拠していますが、NVDにてスコアリングされていない場合には、Wordfenceのスコアに準拠しています。
※CVE-2021-25088の影響を受けるバージョンについて、JVNでは4.1.3未満と記載されていますが、WordPress公式の開発ページでは4.1.2で修正されたと記載されているため、公式の情報を正としています。
※CVE-2022-0346については、JVNでは「XML Sitemap Generator for Google 2.0.4 未満」と記載されていますが、WordPress公式の開発ページ及び開発ログでは2.0.4というバージョンの存在は確認されなかったこと、WordfenceのSoftware Slug項目では、「www-xml-sitemap-generator-org」と記載されていることから、当社では別のプラグインに関する脆弱性情報であると判断しております。
※本記事における脆弱性情報は、当社が把握しているものだけであり、全ての脆弱性情報を網羅できているかはわかりません。
※本記事における脆弱性情報をご利用になる場合には、必ずJVN、NVD、Wordfenceなどの情報を確認されたうえで、自己責任でご利用ください。
前述のように、XML Sitemap Generator for Googleは人気のあるプラグインであり、Web制作の現場でWordPressを利用する場合には、よくお世話になるプラグインです。
しかしながら、XML Sitemap Generator for Google自体のバージョンアップをしようと思っても、WordPressやPHPのバージョンアップが必要であったり、設定が複雑であるなどの問題に直面することもあるかと思います。
taneCREATIVE社は、「リモートによるWebアプリケーションのセキュリティ対策をパッケージ化、首都圏大手企業に提供」している点が評価され、2021年にJ-Startup NIIGATAに選定されているWeb制作会社で、XML Sitemap Generator for GoogleとWordPressはもちろんのこと、PHP、MySQL、MariaDB、各種サーバーについてもノウハウを有しています。
※「J-Startup NIIGATA」とは、経済産業省が2018年に開始したJ-Startupプログラムの地域版として、新潟発のロールモデルとなるスタートアップ企業群を明らかにし、官民連携により集中的に支援する仕組みを構築することで、新潟県におけるスタートアップ・エコシステムを強化する取組です。
XML Sitemap Generator for Googleを使用したWordPressサイト制作やアップデートを含む保守管理に関しては、こちらのお問合せよりお気軽にご相談ください。
taneCREATIVEに所属する謎のトラ。