- SERVICE
Webサイト・CMSの保守管理・運用
- WORKS
- ABOUT US
- NEWS & COLUMN
- RECRUIT
皆さんこんにちは。taneCREATIVEの「ちほうタイガー」です。
この記事は2024年10月31日に執筆しています。
今回はAutoptimizeのバージョンと脆弱性への対応状況についてまとめてみたいと思います。
Autoptimizeは、WordPressサイトの表示速度を高速化するプラグインであり、Frank Goossens氏及び同氏が設立したOptimizing Matters社によって開発・サポートされています。
WordPressのPlugin Directoryの統計情報によると、アクティブインストールは100万以上、総ダウンロード数4021万回以上を計測しており、世界でも人気のあるプラグインの一つと言ってよいでしょう。
一方で、人気のあるプラグインであるため、攻撃対象になりやすい側面もあります。
そこで、この記事では、企業のWeb担当の皆様に向けて、Autoptimizeの概要並びに、脆弱性及びその対応状況をご紹介することで、Autoptimizeを安心して使用していただけるようにしたいと思います。
少しでも皆様のお役に立てる記事にできればと思います。
どうぞよろしくお願い致します。
前述の通り、Autoptimizeは、Frank Goossens氏及びOptimizing Matters社によって開発・サポートが継続されている、オープンソースのWordPress向けプラグインです。
このプラグインを使用することで、HTML、CSS、JavaScriptを圧縮・結合し、ページの読み込み速度を改善することができます。
キャッシュ機能や画像の遅延読み込み、Googleフォントの最適化もサポートしており、PageSpeed InsightsのLCP、FCPなどのスコアを上げることが可能です。
実際のところ、当社のようなWeb制作会社の場合、Autoptimizeの無料版を利用することはあまりありません。
セキュリティ保守の観点からは、できるだけプラグインの数を増やしたくないという理由もありますし、プラグインを入れればプラグイン同士の干渉による不具合が発生する確率が高まります。
また、脆弱性が定期的に数多く見つかっている点も使用しにくい点です。
しかしながら、当社がこれまでに保守を引き受けたWordPressサイトには、Autoptimizeが使用されていたことはあります。
日本国内では多く使用されているプラグインの一つという印象です。
HTMLコードの最適化 |
ページのHTMLコードから不要なスペースや改行を削除し、ファイルサイズを縮小します。 これにより、ブラウザがサーバーからダウンロードする際の転送時間が短縮されることから、全体として表示速度が高速化されます。 |
CSSコードの連結 |
CSSファイル及びインラインのCSSを連結して、読み込み回数を削減します。 これにより、ファイルのダウンロード時間が短縮され、ページ全体の表示速度が向上します。 |
JavaScriptコードの連結 |
JavaScriptファイルを連結して、読み込み回数を削減します。 これにより、ファイルのダウンロード時間が短縮され、ページ全体の表示速度が向上します。 |
画像の最適化 |
必要に応じて遅延読み込み(Lazy Load)を設定することで、画像の読み込み速度を改善します。 これにより、ページ全体の表示が速くなります。 |
Googleフォントの削除 | Googleフォントは多くのWordPressテーマで標準フォントとして使われているため、必要がない場合は 「Googleフォントの削除」オプションを有効にして、ページの読み込み速度を改善できます。 |
前述のように、有名なプラグイン(ダウンロード数が多いプラグイン)は、攻撃のターゲットとして狙われやすいという側面があります。
当社では、WordPress自体は非常に堅牢なCMSであり、バージョンアップをしっかりと行えば大きな侵入のリスクは少ないと考えています。
実際に、WordPress本体(コア)の脆弱性の数はプラグインやテーマに比べて少なく、特に最近では緊急レベルの脆弱性報告は減少しています。
※詳細は、当社が公表しているWordPressの脆弱性情報一覧を参照してください。
一方で、膨大な数のプラグインやアドオンが存在し、それらの脆弱性を狙った攻撃が増加しています。
※「20 WordPress Statistics You Should Know in 2023」によれば、WordPressに関連する脆弱性の約90%はプラグインに、6%はテーマに、残りの4%はWordPressコアに起因しているとのことです。
特に、Autoptimizeのようなダウンロード数の多いプラグインは、多くのユーザーに利用されているため狙われやすい傾向にあります。
そのため、当社では、脆弱性に対する対応が遅い、もしくは対応しないプラグインは、クライアントに推奨していません。
Autoptimizeは定期的にアップデートされ、脆弱性が迅速に修正されているため、問題ないと考えております。
公式サイトに直接的な記載は見つけることができませんでしたが、Autoptimizeでは、一般的なセマンティックバージョニングが採用されているようです。
3つの数字の左から「メジャーバージョン.マイナーバージョン.パッチバージョン」となります。
2024年10月31日現在、Autoptimizeの最新バージョンは3.1.12であり、WordPress6.6.2までテストされています。
通常のオープンソースソフトウェアでは、公式のサポート(新機能の追加、不具合の改修、セキュリティパッチの提供)対象は最新パッチバージョンのみであることから、最新パッチバージョンへのアップデートを推奨いたします。
バージョン3.1.6以下には既知の脆弱性があるため、最新のパッチバージョンへのアップデートを実施してください。
2024年10月31日現在での、Autoptimizeのバージョン情報は次の通りです。
バージョン | リリース日 | サポート期限 | 修正された脆弱性 |
3.1.12 | 2024年7月25日 | サポート中 | - |
3.1.11 | 2024年3月9日 | 2024年7月25日 | - |
3.1.10 | 2023年11月14日 | 2024年3月9日 | - |
3.1.9 | 2023年10月14日 | 2023年11月14日 | - |
3.1.7 | 2023年4月25日 | 2023年10月14日 | CVE-2023-2113 |
3.1.6 | 2023年3月19日 | 2023年4月25日 | - |
3.1.1 | 2022年8月15日 | 2022年9月19日 | CVE-2022-2635 |
3.1.0 | 2022年7月19日 | 2022年8月15日 | CVE-2022-4057 |
2.8.4 | 2021年5月4日 | 2021年7月27日 | CVE-2021-24332 |
2.7.8 | 2020年10月9日 | 2020年12月9日 |
CVE-2021-24378 CVE-2021-24377 CVE-2021-24376 |
2.7.7 | 2020年8月23日 | 2020年10月9日 | CVE-2020-24948 |
2.1.1 | 2017年6月19日 | 2017年6月21日 | Wordfence |
※上記の内容は、WordPress公式サイト開発ログの情報を正として、バージョン3.1.6までを掲載しています。また、それ以前のバージョンについては、既知の脆弱性が存在する最新バージョンと、下記脆弱性が修正されたバージョンを追記しています。
※バージョン3.1.6以下には既知の脆弱性が存在するため、グレーにしています。
Autoptimizeの最新バージョンは3.1.12であり、当社が把握している全ての脆弱性に修正対応済みとなっています。
また、Autoptimize 3.1.6以下のバージョンをご使用の場合には、既知の脆弱性が存在している可能性がありますので、最新バージョンへとアップデートをしてください。
特に、バージョン2.7.7以下を利用されている場合には、緊急レベルの脆弱性が存在している可能性がありますので、至急最新バージョンへとアップデートしてください。
なお、Autoptimize自体に関する脆弱性情報で、当社が把握しているものは次の通りです。
脆弱性情報 | 深刻度 | 影響を受けるバージョン | 修正されたバージョン |
CVE-2023-2113 JVNDB-2023-026795 |
CVSS v3 4.8 (警告) |
・Autoptimize 3.1.6までのバージョン | ・Autoptimize 3.1.7 |
CVE-2022-4057 JVNDB-2022-004108 |
CVSS v3 5.3 (警告) |
・Autoptimize 3.0.4までのバージョン | ・Autoptimize 3.1.0 |
CVE-2022-2635 JVNDB-2022-017988 |
CVSS v3 4.8 (警告) |
・Autoptimize 3.1.0までのバージョン | ・Autoptimize 3.1.1 |
CVE-2021-24378 JVNDB-2021-008462 |
CVSS v3 4.8 (警告) |
・Autoptimize 2.7.7までのバージョン | ・Autoptimize 2.7.8 |
CVE-2021-24377 JVNDB-2021-008463 |
CVSS v3 8.1 (重要) |
・Autoptimize 2.7.7までのバージョン | ・Autoptimize 2.7.8 |
CVE-2021-24376 JVNDB-2021-008464 |
CVSS v3 9.8 (緊急) |
・Autoptimize 2.7.7までのバージョン | ・Autoptimize 2.7.8 |
CVE-2021-24332 JVNDB-2021-007285 |
CVSS v3 4.8 (警告) |
・Autoptimize 2.8.3までのバージョン | ・Autoptimize 2.8.4 |
CVE-2020-24948 JVNDB-2020-010848 |
CVSS v3 7.2 (重要) |
・Autoptimize 2.7.6までのバージョン | ・Autoptimize 2.7.7 |
Wordfence | CVSS v3 9.8 (緊急) |
・Autoptimize 2.1.0までのバージョン | ・Autoptimize 2.1.1 |
※脆弱性情報については、情報セキュリティにおける脆弱性情報に付けられている番号であるCommon Vulnerabilities and Exposures(本記事では「CVE」とします)の順序に従って掲載しています。CVEの番号が採番されていない脆弱性情報については、Wordfenceなどの情報へのリンクを掲載しています。
※深刻度については、共通脆弱性評価システムCVSS v3に基づいています。本記事では、CVSS v3にて緊急(9.0~10.0)、重要(7.0~8.9)、警告(4.0~6.9)に区分されるもののみを掲載しており、その他の情報については、JVN iPediaなどでご確認ください。CVSS v3の適用前の脆弱性情報についてはCVSS v2に基づいて記載しています。
※深刻度の数値はJapan Vulnerability Notes(本記事では「JVN」とします)及び、JVNが評価を合わせている米国国立標準技術研究所(NIST)が運営する脆弱性データベースであるNational Vulnerability Database(以下「NVD」)や独立行政法人情報処理推進機構(以下「IPA」)に準拠していますが、NVD、IPAにてスコアリングされていない場合には、Wordfenceのスコアに準拠しています。
※本記事における脆弱性情報は、Autoptimize無料版に関するもので、Autoptimize有料版に関するものは掲載しておりません。
※本記事における脆弱性情報は、当社が把握しているものだけであり、全ての脆弱性情報を網羅できているかはわかりません。
※本記事における脆弱性情報をご利用になる場合には、必ずCVE、JVN、NVD、Wordfenceなどの情報を確認されたうえで、自己責任でご利用ください。
前述のように、Autoptimizeは世界的に人気のあるプラグインであり、日本国内でも人気のあるプラグインです。
しかしながら、Autoptimize自体のバージョンアップをしようと思っても、WordPressやPHPのバージョンアップが必要であったり、設定が複雑であるなどの問題に直面することもあるかと思います。
taneCREATIVE社は、「リモートによるWebアプリケーションのセキュリティ対策をパッケージ化、首都圏大手企業に提供」している点が評価され、2021年にJ-Startup NIIGATAに選定されているWeb制作会社で、AutoptimizeとWordPressはもちろんのこと、PHP、MySQL、MariaDBについても知見を有しています。
※「J-Startup NIIGATA」とは、経済産業省が2018年に開始したJ-Startupプログラムの地域版として、新潟発のロールモデルとなるスタートアップ企業群を明らかにし、官民連携により集中的に支援する仕組みを構築することで、新潟県におけるスタートアップ・エコシステムを強化する取組です。
Autoptimizeを使用したWebサイト制作やアップデートを含む保守管理に関しては、こちらのお問合せよりお気軽にご相談ください。
taneCREATIVEに所属する謎のトラ。