WordPressのプラグインやテーマを有料で販売している人にとって、無視できないルールが今年9月から始まります。EUのサイバーレジリエンス法（CRA）により、2026年9月以降、EU市場で提供されるすべての商用WordPressプラグインに脆弱性開示プログラム（VDP）の整備が義務付けられます。そして見落としがちなのが、これがEU圏の開発者だけの話ではないという点です。日本から販売していても、EUのユーザーが買える状態なら対象になります。
何が義務化されるのか
CRA（Cyber Resilience Act）は、EUが定めたソフトウェアのセキュリティに関する法律です。WordPressのプラグイン・テーマ開発者は、セキュリティ監査の実施、正式な脆弱性開示プロセスの整備、インシデント報告の文書化が求められます。脆弱性を黙って修正することが認められなくなります。
これまでは、プラグインにセキュリティの問題が見つかっても、開発者が静かに修正版を出せば済んでいました。今後はそれが許されません。脆弱性を発見した時の報告手順や、ユーザーへの通知の仕組みを、あらかじめ用意しておく必要があります。
「EUの話」では済まない理由
ここが重要なポイントです。CRAは、EUのユーザーがあなたのソフトウェアにアクセスでき、何らかの商業活動をしている場合に適用されます。開発者がどこにいるかは関係ありません。
WordPressのプラグインやテーマは、世界中の誰でもダウンロードできる形で公開されているのが普通です。日本語で販売していても、EU圏のユーザーが購入・利用できる状態なら、理屈の上では対象に含まれます。
プラグインを販売している、Pro版を提供している、有料サポートを提供している、何らかの形で収益化している場合、GPLライセンスであっても「商業活動の一環」とみなされ、CRAの対象になります。無料・非商用のコミュニティプラグインは対象外です。
CRAは脆弱性が悪用された際にユーザーへ通知することを求めていますが、WordPress.orgやnoteなどで配布している場合、開発者は自分のユーザーが誰かを把握できないケースが多いです。法律は通知を求めているのに、構造上それができない。この矛盾はまだ解決されていません。
なぜこの法律ができたのか
背景には、WordPressエコシステムの深刻なセキュリティ状況があります。2024年には7,966件の新しい脆弱性がWordPressエコシステムで報告され、前年比34%の増加でした。そのうち96%がプラグインの脆弱性です。さらに、プラグイン開発者の半数以上が、公式に脆弱性が公表される前に修正をしていませんでした。
先日も人気プラグインのKirkiに重大な脆弱性が見つかり、50万サイトが乗っ取りの危険にさらされました。プラグインのセキュリティ問題は、もはや個別の開発者の良心に任せておける段階ではない、というのがEUの判断です。
プラグイン・テーマを販売している人がやるべきこと
日本の個人開発者がいきなり完璧な対応をするのは難しいですが、最低限やっておくべきことはあります。
脆弱性を見つけた人が連絡できるメールアドレスや問い合わせフォームを、わかりやすい場所に明記します。これがVDP（脆弱性開示プログラム）の最も基本的な部分です。専用ページを1枚作るだけでも第一歩になります。
脆弱性の報告を受けたら、いつまでに確認して、いつまでに修正して、どう公表するか。この手順を簡単でいいので文書にしておきます。CRAは「黙って修正する」ことを認めていないため、プロセスの記録が重要になります。
自分のプラグインがEU圏のユーザーに販売されているか、把握しておきます。販売チャネルによってはEU圏を対象外に設定できる場合もあります。リスクと手間を天秤にかけて、どこまで対応するかを判断する材料になります。
開発・セキュリティ対応
プラグイン・テーマの開発から、セキュリティ対応・脆弱性対応の整備まで対応しています。「自分の販売しているプラグインが心配」「セキュリティの仕組みを整えたい」という方はお気軽にご相談ください。
まとめ
プラグイン・テーマの開発・セキュリティ対応のご相談はお気軽にどうぞ。
プラグイン開発・セキュリティ対応のご相談はこちら
無料相談する →