先日サーバのコントロールパネルを確認したところ、使用しているデータ量が急激に増えていました。容量が増える原因と言えば、バックアップに使用しているプラグインのBackWPupしか原因はなさそうだったのでBackWPupのログを確認してみました。

確認したところ、バックアップジョブが途中で応答がなくなったことにより止まっていました。ジョブが止まるたびにバックアップのゴミデータが溜まっていたため、データ量が増えたようです。

対処法を検索したところ、全く同じ現象ではありませんでしたが参考になる情報がありました。

Job does not responded for 10 seconds after migration to https:

[wordpress.org]

要は”BackWPupを1回アンインストールして再インストールする”というだけなのですが、応答がなくなってエラーになるという点では症状が同じだったのでこの対処法を試してみました。

再インストール後に再度バックアップジョブを設定して手動実行してみたところ、無事に完了しました。応答がなくなって止まるエラーの対処としては有効な方法なのかもしれません。

セキュリティとメンテナンスのリリースになっています。

WordPress 4.9.7 Security and Maintenance Release

[wordpress.org]

主要なトピックとして挙げられている修正点は、特定の権限を持つユーザがメディアアップロードの機能でアップロードフォルダ外のファイルを削除できてしまう問題の修正です。この問題は4.9.6以前のユーザが影響を受けるそうです。

その他にも分類のキャッシュ処理の改善やログアウト時のパスワードCookieの削除など何点か修正点が挙げられています。

今回のバージョンは元々リリース予定がなかったのですが、上記の不具合が発見されたことにより急きょ4.9.7としてリリースになったそうです。元々4.9.7として準備が進んでいたバージョンは4.9.8となり、7/31前後にリリース見込みとのことです。

WordPress4.9.6がリリースされました。

今回トピックとして大きいのはEUのGDPRに対応してプライバシー関連の機能が強化されたことです。そのため、”プライバシー＆メンテナンスリリース”となっています。

EUのGDPRというのはGeneral Data Protection Regulationの略称で、日本語だと一般データ保護規約といったところかと思います。2018/05/25より発効となっています。

GDPRは欧州の規制ですが、

• 欧州に拠点を持っている企業
• 欧州に商品やサービスを提供している企業

の場合、欧州域外の企業であっても対象になるそうです。このことから影響範囲が広範になるので、WordPressとしてもサイト運営者の支援を行う機能を実装したようです。

まず分かりやすいのはコメント欄です。コメント投稿時に名前やメールアドレスをサイトに保管するかどうかを選択できるようになりました。デフォルトでは保管しません。

また、サイトのプライバシーポリシーを半自動で生成してくれる機能が実装されました。プライバシーポリシー策定のガイドラインも公開されています。

更に、サイトが収集した個人データを一括してzipファイルで出力する機能や、個人データを一括して消去する機能も実装されました。これらの機能はGDPRの規定に基づいて実装されたようです。

今回はプライバシー関連の機能が盛りだくさんでしたが、この他に通常のメンテナンスリリースとして95件ものアップデートが含まれているそうです。

セキュリティ＆メンテナンスリリースとなっています。

WordPress 4.9.5 Security and Maintenance Release

[wordpress.org]

WordPress3.7以降の全てのバージョンに影響する問題が含まれ、極力早期のアップデートを推奨とのことです。

セキュリティの修正として、

• URLを検証するwp_http_validate_url()関数で”localhost”を使用できなくなった
• get_the_generator()の戻り値でWordPressのバージョンを返さなくなった
• SSLが使用されているログイン画面でリダイレクト先のURLを検証するwp_safe_redirect()関数の使用を強制とした

という3つが挙げられています。一利用者としてはあまりピンと来ない内容ですが、例によって早めの更新としました。

ついこの前4.9.3がリリースになったばかりなのですが、はやくも4.9.4がリリースとなりました。

今回はバグが1個だけ修正されたリリースとなっています。

WordPress 4.9.4 Maintenance Release

[wordpress.org]

その1個のバグというのは　”自動アップデートが正常に動かなくなる問題”　だそうです。上記エントリにもある通り2013年から世の中のWordPressを安全に保っていた自動アップデートですが、4.9.3は正常に自動アップデートが動かないようです。

そのため、今回の4.9.4へのアップデートはダッシュボードから手動で行いました。私のように個人で管理できてしまう場合は、早めに手動でアップデートしてしまうのが良いと思います。

今回はメンテナンスリリースで、39件のバグが修正されているそうです。

WordPress 4.9.3 Maintenance Release

[wordpress.org]

ここ最近は緊急性のある脆弱性修正が多かったので、普通のメンテナンスリリースは久しぶりに感じます。

WordPressのアップデートに伴う変更点は、上記リンクのようなアップデートの際に投稿されるエントリの”list of tickets”のリンクが分かりやすいと思います。

Redmineなどで使われているようなチケットシステムでバグや脆弱性が修正されているので、チケットの優先順位やジャンルなどをチェックしてみると面白いです。

今回はセキュリティ＆メンテナンスリリースとなっています。今回のリリースはすぐの更新が推奨されていますので要注意です。

WordPress 4.9.2 Security and Maintenance Release

[wordpress.org]

WordPressのMediaElementライブラリに含まれるファイルにクロスサイトスクリプティングの脆弱性が見つかり、その修正とのことです。影響範囲はWordPress3.7以降の全バージョンとのことなので、広範囲です。

何となくこのMediaElementという単語に見覚えがあったのですが、4.5.2でも修正が入っていたライブラリでした。

WordPress4.5.2がリリース

[heboDJ.net]

開発に関しては完全に門外漢なのですが、動画再生などに使用するライブラリだそうです。

早速セキュリティとメンテナンスのリリースです。

WordPress 4.9.1 Security and Maintenance Release

[WordPress.org]

今回の修正は珍しく「即時のアップデートを強く勧める」という前置きが書いてあり、ちょっと深刻そうな雰囲気を感じます。

WordPress3.7～4.9まではマルチベクトル攻撃に対する脆弱性が存在し、今回の4.9.1でその脆弱性を修正しているそうです。

マルチベクトル攻撃という単語が良くわからなかったので調べてみたところ、”アプリケーション層などの複数の層に対しても攻撃を行うDDoS攻撃”のことのようです。

よく知られているsynフラッド攻撃はTCPの仕様を利用した攻撃なのでトランスポート層に対する攻撃になりますが、それとは別に今回のWordPressで発見されたようなアプリケーション層の脆弱性を突くような攻撃を複合的に行い、簡単な対策では対抗できないような攻撃を行うケースが増えているんだそうです。

今回はアップデート勧告文付きなので、いつも以上の速やかなアップデートが吉だと思います。

バージョン4.9がリリースになりました。今回はメンテナンスリリースではないので様々な変更点があります。

WordPress 4.9 “ティプトン”

[wordpress.org 日本語版]

大まかに分けてサイトデザインの変更とコーディング周りの変更があります。いくつか気になった変更点をピックアップしてみます。

サイトデザインの予約変更

エントリの投稿は未来の日付を設定することで予約投稿ができますが、同じ要領でサイトのデザイン変更やカスタマイズも予約で変更できるようになったそうです。サイトリニューアルを指定日時に行いたい時に便利そうです。

変更後デザインのリンク送付

変更後デザインのプレビューをリンクで送付することができるそうです。複数人で運営するサイトの場合、デザインリニューアル案を詰める時などに使えそうな機能です。

カスタムHTMLウィジェット

これは4.8.1で追加されていた機能ですが、カスタムHTMLウィジェットを使用することで、CSSの構文誤りを発見するのが容易になるそうです。

などなど、WordPressをほぼ無改造で細々と使う私にはあまり縁のない系統の更新が多いですが、4.8台の更新分も含めて盛りだくさんのアップデートになっています。

今回のリリースはセキュリティリリースとのことです。

WordPress 4.8.3 Security Release

[wordpress.org]

今回の修正はWordPressのデータベースにアクセスするためのwpdbというクラスで使用できるprepareメソッドに脆弱性が発見されたためとのことです。

このメソッド自体がそもそもSQLインジェクションを予防する機能を提供しているようなのですが、安全でないクエリを生成してしまう可能性があったそうです。

WordPressのコアはこの脆弱性の影響を受けないようですが、テーマやプラグインが影響を受ける恐れがあるためいち早くの修正となったようです。