All-In-One Security (AIOS) 変更履歴

All-In-One Security (AIOS) 設定

5.5.1 – 2026/10/30

修正：Cloudflare Turnstileのキーチェック正規表現を更新し、アンダースコアとハイフンを許可しました。
調整：使用されていないlib-centralライブラリを削除しました。
調整：ブラックフライデーのプロモーションを追加しました。

5.5.0 – 2026/10/26

セキュリティ: 有効な nonce とロック解除キーを必須にして、空の aiowps_auth_key パラメーターによるログインロックアウトの不正な解除を防止。この不具合を報告してくださった Filip Kowalski 氏に感謝します。
セキュリティ: パスワードリセット時に、2要素認証 (2FA) が有効なユーザーを WooCommerce が自動ログインさせないよう変更。以前のバージョンでは、WooCommerce の「パスワードを忘れた場合」機能を使うと、パスワードリセットのリンクが送信されたメールアカウントにアクセスできる人が、2要素認証 (2FA) コードを入力せずにログインできました。
セキュリティ: 権限レベルの低いユーザー (購読者など) が存在するサイトで、権限の低いユーザーがリクエストを偽造し、自分の 2要素認証 (2FA) コードを他人のアカウントに対して受け入れさせることが可能だった問題を修正。ログインを完了するには、ログイン先アカウントのパスワードも知っている必要がありました。WPScan を通じて責任ある開示をしてくださった Karol Czubernat 氏に感謝します。
機能: TeamUpdraft アカウントを接続する「統合」設定タブを追加。TeamUpdraft クラウドに接続する機能が使用する認証を提供。
機能: ログインページの名称変更機能にリダイレクト URL (任意) を追加。wp-admin にアクセスしようとした未ログインの訪問者に「権限がありません」というメッセージを表示する代わりに、指定したページへ誘導可能に。
機能: ファイアウォールに監査ログとデバッグログを追加。
機能: ファイアウォールにセッション機構を追加。
機能: 監査ログテーブルにページ送りのドロップダウンを追加し、1ページに表示するログ数を変更可能に。
修正: 不要な場合に秘密鍵の暗号化を openssl へ移行する試行を開始する際のエラーログ記録を修正。
修正: notify_incorrect_tfa_code_attempts() の警告「username」を修正
修正: ユーザーの権限グループで 2要素認証 (2FA) を必須にしている場合 (Premium)、無料版にダウングレードした後も必須のままになる問題を修正。
修正: PHP E_STRICT の非推奨通知を解消
修正: 一部の解像度で QR コードがはみ出す問題を修正
修正: 新規投稿の作成時に 2要素認証のユーザー設定ブロックが表示されない問題を修正。
修正: 緊急コード使用時のメール通知文のタイプミスを修正。
修正: 他のウェブサイトから設定をインポートする際に、CAPTCHA キーと管理者メールアドレスの確認を追加。
修正: AJAX 駆動の一覧テーブル (ログイン中のユーザーなど) で、ページを手動で再読み込みするまで一括操作の行が表示されない問題を修正。
修正: WordPress マルチサイトで、削除したユーザーが手動承認テーブルに表示され続ける問題を修正。
修正: ファイアウォールの IP 許可リスト設定を設定のインポートとエクスポートに含めるよう変更。
修正: Google と Bingbot の更新に失敗すると既存のボット範囲が上書きされる可能性がある問題を修正。
修正: Google reCAPTCHA のシークレットキー検証を修正。
修正: CAPTCHA を無効にした後も Google reCAPTCHA の無効な設定の通知が表示され続ける問題を修正。
修正: テーブルの自動変換がスキップされた可能性のあるアップグレード環境にも対応できるよう、InnoDB テーブル移行タスクを改善。
修正: 大容量のデータベーステーブル (10MB 超) を InnoDB 移行時に自動変換しないよう変更。代わりに手動変換の手順を表示し、タイムアウトやデータベースのロックアップを防止。
修正: レコードが存在しない場合に一覧テーブルのフィルターが表示されたままになる問題を修正。
修正: www なしの wp-login.php の正規リダイレクトで、名称変更したログインページが露出する問題。
修正: PHP 8.1 以降で発生する可能性のある PHP の非推奨通知。
修正: プラグインを多数インストールしているサイトでファイルスキャンが失敗しないよう改善し、スキャンの進捗が分かりやすくなるようリアルタイムの「チェックサムをダウンロード中」ステップを追加。
修正: レコードが残っていないときに、AJAX でテーブルを更新しても検索バーが表示されたままになる問題。
修正: REMOTE_ADDR が有効な IP アドレスでない場合に、パスワードリセットメールの本文が途中で切れることがある問題。
修正: .htaccess ルールの最大ファイルアップロードサイズ設定が、管理画面の「メディアファイルを追加」ページに反映されない問題。
修正: UpdraftCentral 統合の監査ログのイベント詳細が空白になる問題。
修正: 古い WordPress バージョンでユーザーを削除すると HTTP 500 エラーが発生し、監査ログのユーザー詳細が欠落する問題。
修正: 各種翻訳および翻訳者向けコメント。
修正: 一覧と確認ポップアップで HTML リンクがプレーンテキストで表示される問題を修正。
修正: 互換性のない TFA Premium プラグインが有効なときに AIOS の TFA コードが読み込まれるのを防止。
修正: ファイル変更スキャン結果で、PHP 警告を出さずに各ファイルの MD5 と SHA-256 のチェックサムを正しく表示。
修正: IP 範囲内のブラックリスト登録が正しく記録されない問題。
修正: 個人データ削除の確認メールで、名称変更したログインページの URL が露出する問題。
修正: WordPress 5.3 以下で AIOWPSecurity_Audit_Events::user_removed_from_blog 関数の引数が不足する問題。
修正: モバイル端末の一覧で data-colname 属性がコンテンツとして表示されるのを防止。
調整: 互換性のない WordPress バージョンでの AIOS の有効化を防止。
調整: PHP の最低必須バージョンを 7.4 に更新。
調整: WordPress の最低必須バージョンを 5.3 に更新。
調整: ロックアウトした IP テーブルを AJAX で動作するよう強化。
調整: デバッグログテーブルに AJAX 対応を追加。
調整: ログイン中ユーザーのテーブルに AJAX 対応を追加。
調整: スマート 404 ブロック IP 一覧テーブルに AJAX 対応を追加。
調整: スパム IP テーブルに AJAX 対応を追加。
調整: Cloudflare Turnstile のサイトキーとシークレットキーの検証を追加。
調整: 他の統合向けに、ファイル変更スキャン結果を渡す ‘aios_file_scan_completed’ アクションフックを追加
調整: セットアップウィザードを無効にする定数を追加。wp-config.php に define(‘AIOS_DISABLE_SETUP_WIZARD’, true); を追加すると無効にできます。
調整: 監査ログのデータ保存設定を追加。
調整: 永久ブロックリストのテーブルに、ブロック理由での絞り込みと、絞り込み結果に対する一括ブロック解除を追加。
調整: ログがない場合の 404 イベントログ削除の処理を追加。
調整: キャッシュプラグインや CDN によるキャッシュを防ぐため、ロックアウトとリダイレクトのレスポンスに no-cache ヘッダーを追加。
調整: サブサイト管理者がスパマー IP リストで、自分のサブサイトの IP を永久にブロックできるよう許可。
調整: ファイアウォールを監査し、該当する error_log 呼び出しをデバッグログに置き換え。
調整: 監査ログのデフォルトの保存期間を30日に変更。
調整: スクリプトのエンキューフックを admin_print_scripts / admin_print_styles からより標準的な admin_enqueue_scripts に変更。
調整: 「ユーザーセキュリティ」>「ユーザーアカウント」タブの UI を PHP ファイアウォールルールタブの UI に合わせて変更。
調整: UI セクションを折りたたむ機能を無効化。
調整: ログイン中ユーザーテーブルから冗長な user_id インデックスを削除。
調整: ファイル内容のハッシュを照合することで、.htaccess と wp-config.php の復元のセキュリティを強化。
調整: スキャナーの起動時間を改善。
調整: カスタムフックの接頭辞を aios_* に統一して PHPCS の命名規則への準拠を改善し、WordPress コアのフックには必要に応じて PHPCS 無視コメントを追加。
調整: 管理ページ間で一貫性が高まるようバッジの位置を改善。
調整: 「詳細情報」ヘルプテキストをツールチップに移動。
調整: Have I Been Pwned「HIBP」タブと関連設定を「ユーザーセキュリティ」→「パスワード設定」に移動。
調整: コメントコマンドクラスをレスポンスヘルパーメソッド利用にリファクタリング。
調整: 404 ログのエクスポートを AJAX で動作するようリファクタリング。
調整: ユーザーコマンドクラスを新しい AJAX レスポンスヘルパーメソッド利用にリファクタリング。
調整: 適切な箇所で htmlspecialchars() を WordPress のエスケープ関数に置き換え。
調整: AIOS のドキュメントリンクを TeamUpdraft Docusaurus のドキュメントルートに更新。
調整: 監査ログの SQL クエリーでプリペアドステートメントを使用するよう更新し、エスケープされていないデータベースパラメーターの警告を解消。
調整: レビュー依頼通知のデザインを更新。
調整: 読みやすさ向上のため、一部のヘルプテキストを更新。
調整: 数値設定で HTML の number 入力を使用するよう更新。
調整: コードの一貫性向上のため、不要な stripslashes() の使用を削除。
調整: 未使用の ‘aios_loaded’ アクションを削除。
調整: 使用されなくなった従来のセキュリティログファイルとログディレクトリを削除。
調整: 不要になったメッセージストアを削除。
調整: 未使用の「インターネットボット」タブと「6G ファイアウォールルール」タブを削除。

5.4.10 – 2026/9/16

セキュリティ：ログインロック解除リクエストは、ユーザーアカウントの確認なしにIPアドレスのみに基づいて検証されていたため、ユーザーが他のアカウントのロックを解除できてしまう脆弱性がありました。この欠陥を報告してくれたAnanda Dhakal氏に感謝します。（これにより、ロックアウト中のユーザーと同じIPアドレスを持つ攻撃者が、そのユーザーのロックアウトを解除できてしまう可能性があります。）

5.4.9 – 2026/6/5

調整: UDRPC メッセージを含む POST リクエストを検証するフィルターを追加
調整: 内部共通ライブラリパッケージを最新バージョンに更新

5.4.8 – 2026/6/2

セキュリティ: 管理画面でレンダリングする前にデバッグログメッセージをエスケープし、保存型 XSS 脆弱性を防止。Dmitrii Ignatyev 氏による欠陥報告に感謝。(この問題はデバッグログ機能と「未認証の REST リクエストを禁止」設定の両方が有効な場合に発生。攻撃者が細工したリクエストでデバッグログに悪意のあるスクリプトを注入し、管理者が AIOS デバッグログページで閲覧した際に実行される可能性がありました)。
機能: メール処理用にレポートクラスへ通知メソッドを追加
機能: 監査ログテーブルに IP をブラックリストに追加する一括操作を追加
修正: オンボーディングウィザードで 2FA を設定する際、正しいコードを複数回入力すると拒否される軽微な不具合を修正
修正: ログインページ名変更機能を有効化した直後にログアウトボタン/リンクが動作しない問題を修正
修正: マルチサイト環境でサブサイトのダッシュボードのログイン概要にメインサイトの詳細が誤って表示される問題を修正
修正: AJAX テーブル操作時の class-wp-screen.php での $hook_suffix 未定義 PHP 警告を解消
修正: UTF-8 エンコード URI に対応するため「高度な文字フィルター」の URI を正しくデコード
修正: スパマー IP アドレスの一括ブロック操作が機能しない問題を解消
調整: AIOS アップグレード時に必要な場合のみ更新する .htaccess バージョン管理を導入
調整: エクスポートできる監査ログがない場合の空 CSV ダウンロードを防止
調整: 「強力なパスワードを強制」が有効なとき、フロントエンドの jQuery 依存を削除
調整: 監査ログ一覧に実行された 2FA WP-CLI コマンドを追加
調整: 404 ログテーブルを AJAX で動作するよう更新
調整: 永続ブロック IP テーブルを AJAX で動作するよう更新
調整: サイトロックアウト通知メール内の URL を含むユーザー名がメールクライアントで自動リンクされないよう防止

5.4.7 – 2026/4/27

機能: IP とユーザー名別のログイン失敗上位 5 件のダッシュボードウィジェットと、過去 7 日間のログイン失敗数のチャートを追加
修正: WordPress 7.0 管理画面 UI の互換性問題を解消
修正: オフにしてもブラックリスト IP と User Agent ファイアウォールが有効のままになる問題を修正
修正: WordPress 6.3 以降でテーブルソートインジケーターが表示されない問題を修正
修正: セットアップ通知の「IP アドレス検出設定をセットアップ」ボタンが動作しない問題を修正
修正: モバイル解像度でテーブルから一括操作とフィルターが欠落する問題を修正
修正: 「ログインページの名称を変更」の説明に HTML タグが表示される問題を修正
修正: 正規の検索ボット (Google/Bing/Yahoo など) の 404 イベントをログに記録しないよう修正
修正: WordPress 5.0 の非推奨通知を解消するため sanitize_url() の代わりに esc_url_raw() を使用
修正: 「ReflectionMethod::setAccessible is deprecated as of PHP 8.5」通知を修正
修正: ZIP からのインストール時に WP < 5.5.0 で発生する Plugin_Upgrader::$new_plugin_data 未定義プロパティの PHP 通知を解消
修正: WPCF7_TagGenerator::add() の PHP 警告を解消 (バージョン 2 より古いタグジェネレーターインスタンスの使用は非推奨)
調整: WordPress 同梱の zxcvbn ライブラリを使用してパスワード強度ツールの可読性を改善
調整: 機能の説明を明確にするための各種テキスト改善/更新
調整: Googlebot IP 範囲 API の URL を更新
調整: セキュリティポイント内訳ウィジェットの UI を更新
調整: HTTP 認証のパスワードをハッシュ化
調整: PHP 7.3 以下のサポート終了に関する通知を追加