WordPressの自動セキュリティレビューが、WordPress.orgの更新APIを通じて配信されるすべてのプラグインリリースを事前に審査するようになりました。セキュリティ上のリスクとみなされたリリースは自動的にブロックされます。
「プラグインは今日は安全でも、将来のリリースで脆弱性や悪意のあるコードが混入する可能性があります。これまでは、リリースがコミットされてから何百万ものサイトに届くまでの間に、一貫したレビュー工程が存在しませんでした」と、WordPress公式プラグインリポジトリチームの共同リーダーであるDavid Perez氏は説明しています。
セキュリティレビュー導入のきっかけ
7月28日、自動レビューがあるプラグインのリリースにコミットされたバックドアを検出しました。このプラグインはアクティブインストール数が約20,000件でした。システムはこのリリースに高いセキュリティスコアを割り当てました。侵害されたバージョンはまだクールダウン期間内にあり、WordPress.orgの更新APIを通じて配信されることはありませんでした。
プラグインチームは、Wordfenceからアップデートについて通知を受けてから26分後に、このプラグインのダウンロードを停止しました。
この事案により、高リスクという判定結果が出た場合には、チームメンバーの対応可否に関わらず配信を自動的に停止すべきであることが明らかになりました。
レビューの仕組み
6月5日、すべてのプラグインおよびテーマのリリースに対して6時間のクールダウン期間が導入されました。この期間中、リリースはWordPressダッシュボードからのワンクリック更新を含め、WordPress.orgの更新APIを通じた配信前に保留されます。
クールダウン期間中、複数のAIモデルとJetpack Scanが各リリースの変更内容を分析します。結果は精度向上と誤検知の低減のために相互照合され、その上でセキュリティスコア付きの評価結果としてまとめられます。スコアが高いほど、潜在的なセキュリティリスクが高いことを示します。
リリースが高リスクと判定された場合、自動的にブロックされます。そのプラグインへのコミット権限を持つ全員に、判定結果を説明するメールが送信されます。高リスクと判定されなかったリリースは、通常のプロセスを経て進行します。
高リスクスコアは、意図の有無を示すものではありません。偶発的なセキュリティ上の問題も、意図的に追加されたマルウェアと同じスコアを受け取る場合があります。このスコアはセキュリティリスクのレベルを示すものです。
作者が対応する必要があるのは、リリースがブロックされたことを知らせるメールを受け取った場合のみです。メールが届いていなければ、対応の必要はありません。
リリースがブロックされた場合の対応
プラグインが高リスクスコアを受けた場合、問題が解決されるまでそのリリースは配信されません。
ブロックを解除するには、作者はまず報告された評価結果を確認し、何がブロックの原因になったかを特定する必要があります。その後、問題を修正して新しいリリースを公開します。新しいリリースがブロックの閾値を下回るスコアであれば、通常のクールダウンプロセスを経て進行します。
判定結果が誤っていると考える作者は、プラグインチームに連絡できます。ただし、チームは大量のレビューを処理しているため、異議申し立てに対する手動レビューを待つよりも、修正版のリリースを公開する方が通常は早く解決します。
Perez氏によれば、チームは今後もデータを収集し、チェック内容を調整しながらこのプロセスを改善していくとのことです。誤検知に関するフィードバックは、システムの精度向上に役立つといいます。
翻訳元: https://www.helpnetsecurity.com/2026/09/10/wordpress-automated-plugin-security-review/
