WP Cerber Security 9.7

English version: WP Cerber Security 9.7

今回のリリースでは、運用上の明確性と将来互換性の確保に引き続き注力しています。設定や環境リスクを早期に可視化する新しいダッシュボードウィジェットを導入するとともに、ログ記録と管理インターフェースにおけるセキュリティ強化を図りました。また、今回のアップデートの一環として、非推奨パスの削除と非推奨通知の削減を行い、WP CerberをPHP 8.5にさらに適合させることに成功しました。これにより、最新のスタック上での日常的な運用が予測可能でスムーズなものとなります。

システム準備状況ダッシュボードウィジェット

WP Cerberダッシュボードに、セキュリティや安定性に影響を与えるプラグインの設定や環境の問題を表示する新しいシステム準備状況ウィジェットが追加されました。このウィジェットは、管理者がログや診断画面を詳しく調べなくても、早期警告信号を視覚的に確認できるように設計されています。

問題は、深刻度レベル、繰り返し発生する事象のタイムスタンプ、オプションの診断詳細、および関連ドキュメントへのリンクを含む構造化されたリストとして表示されます。各項目は確認後、個別に削除できるため、ダッシュボードは未解決の問題に集中できます。

セキュリティ強化アップデート

トラフィックログのセキュリティが強化され、ログの偽造や注入攻撃に対する保護機能が実装されました。この変更により、セキュリティログの整合性が向上し、フォレンジック分析中に信頼できない入力によって記録されたイベントが改ざんされるリスクが軽減されます。

プラグインの管理画面におけるContent-Security-Policy適用が強化されました。追加のディレクティブにより、スクリプト、スタイル、フォーム送信、およびフレーム動作が明示的に制限され、管理画面内での作業における攻撃対象領域が縮小されました。

検出機能とファイアウォールの改善

難読化された悪意のあるJavaScriptの検出機能が向上し、意図的に隠蔽されたペイロードをより正確に識別できるようになりました。検出動作の予測可能性を維持しつつ、一般的な難読化手法への対応範囲を強化することに重点を置きました。

互換性とメンテナンス

PHP 8.5で非推奨となった旧バージョンのコードが削除されました。これにより、新しいPHPバージョンでの非推奨警告が減り、サーバーのエラーログが対処可能な問題に集中するようになります。

定期メンテナンスの一環として、時代遅れの監視ロジックと非推奨のPHP構文も削除されました。これらの変更により、最新のPHPの動作との整合性が向上し、古いコードの実行によって発生する可能性のあるエッジケースが低減されます。

管理者インターフェースと設定の動作

リクエストのホワイトリスト登録に使用されるHTTPヘッダー検証機能が更新され、コロンの後に空の値が含まれるルールも正しく処理されるようになりました0や空文字列などの値を含むヘッダーは期待どおりに処理されるようになり、正しい形式のルールは変更なく引き続き機能します。

ダッシュボードウィジェットの並べ替えは、ウィジェットの見出しを通してのみ可能になりました。これにより、ウィジェットコンテンツを操作した際に意図せずレイアウトが変更されることを防ぎ、ダッシュボードのカスタマイズをより意図的に行えるようになります。

信頼性とバックグラウンド処理

メールアラート配信に関するエラー処理が強化され、アップグレード時に古いデータが自動的に削除されるようになりました。これらの変更により、通知の遅延が減り、バージョン間で古いデータが蓄積されるのを防ぎます。

スパムコメントのクリーンアップ処理は、タイムスタンプの処理をより一貫性のあるものにするため、バッチ処理で実行されるように最適化されました。コメント数の多いサイトでは、これによりメンテナンス作業中のリソース急増のリスクが低減されます。

有効期限切れのユーザーセッションとIPアドレスのロックアウトの処理が改善され、古い制限がより確実に解除されるようになりました。これにより、アクセスが意図したよりも長くブロックされたままになるケースが減少します。

バグを修正しました

文字列処理関数にnull値が渡されたときに PHP の非推奨警告が発生するいくつかの軽微な問題が修正されました。これによりpreg_replace(): Passing null to parameter #3 ($subject) of type array|string is deprecated 、 preg_match(): Passing null to parameter #2 ($subject) of type string is deprecated 。

リクエストデータの欠落に関する警告Undefined array key "REQUEST_METHOD"およびUndefined array key "HTTP_HOST"など）を発生させていたバグが修正されました。これらの特殊なケースは、サーバーのエラーログを汚染することなく安全に処理されるようになりました。

設定ページを修正し、エスケープされたHTMLタグが正しく表示されるようにしました。これにより、管理画面で特定の設定値を表示する際に、混乱を招いたり、出力が破損したりする問題を回避できます。