脆弱性診断

PHP 7.4以前、および既知CVEを持つ現行バージョンを検出。最優先のパッチ対象です。

コアバージョンを公開済みセキュリティリリースと照合し、修正提供が終了したものを警告します。

テーマ同梱の古いjQueryを検出。多くのDOM-XSS問題の原因となります。

セキュリティパッチ提供が終了したDBバージョン（MySQL 5.7以前／MariaDB 10.3以前）を検出します。

DB認証情報がサーバー上で誰からも読める状態になっていないかを確認します。

攻撃者がリダイレクトやバックドア設置のために書き換え可能な.htaccessを検出します。

backup・tmp・oldなどの名前のテーブルを警告。放置されたダンプや悪意ある投入の典型的な痕跡です。

ユーザー名が「admin」のアカウントが残存している場合に警告。ブルートフォース攻撃の半分の労力を相手に与えてしまいます。

完全な管理権限保持者が5名を超える場合に強調表示。権限拡散の兆候です。

?author=1やREST APIが、誰にでもユーザー名を返してしまわないかをテストします。

本番環境でデバッグ出力がオフになっているか確認。エラーメッセージは攻撃者にとって宝の山です。

ダッシュボードからのPHPファイル編集を無効化。Cookie1つの盗難が、即座に任意コード実行に直結する状態を防ぎます。

デフォルトの「wp_」プレフィックスを検出。汎用SQLインジェクションのペイロードが効きやすくなります。

wp-config.php内の8つのシークレットがすべて存在し、十分にランダムであることを検証します。

管理者セッションが常にHTTPSで提供され、平文HTTPに落ちないことを確認します。

XML-RPCを検出。現在はもっぱら増幅型ブルートフォースで利用されるレガシーインターフェイスです。

無効化済みのコードもディスク上に存在し、依然として悪用可能です。削除対象として警告します。

最新リリースから遅れたすべてのプラグインを、変更履歴へのリンク付きで一覧表示します。

テーマについても同様。子テーマの背後にある親テーマも含めて検査します。

未使用テーマが3つを超えてインストールされている場合に警告。それぞれが攻撃面となります。