| アドバイス情報 - webmasterさんのエントリ |
2026/07/23
|
「WordPress」に致命的脆弱性、未認証・条件なしで乗っ取れる 〜CVSS 3.1で「9.8」
執筆者: webmaster (10:01 am)
|
 人気のブログシステム「WordPress」で、未認証でもリモートから任意コードを実行できてしまう致命的な脆弱性が発見された。この攻撃手法は「wp2shell」と呼ばれており、すでに概念実証（PoC）コードも存在する。「WordPress」の開発チームは7月17日付けで修正バージョンをリリースしている。 「wp2shell」は、以下の2つの脆弱性を組み合わせた攻撃手法。この手法を発見したSearchlight CyberのAdam Kues氏によると、事前に必要な条件は一切なく、プラグインをなにも導入していない状態の「WordPress」サイトでも匿名で悪用できてしまうという。 ・CVE-2026-60137：「WP_Query」の「author__not_in」パラメーターが適切にサニタイズされておらず、プラグインやテーマが信頼できない入力をこのパラメーターへ渡した場合にSQLインジェクションが発生しうる。「CVSS 3.1」の基本値は「5.9」（Medium） ・CVE-2026-63030：REST APIのバッチエンドポイントにおけるルート混同の問題。「CVE-2026-60137」を組み合わせることで、SQLインジェクションを経てリモートでコードを実行できてしまう。「CVSS 3.1」の基本値は「9.8」（Critical） 「wp2shell」が影響するとされる範囲は、「WordPress」の以下のバージョン。 ・6.9.0 - 6.9.4（v6.9.5への更新が必要） ・7.0.0 - 7.0.1（v7.0.2への更新が必要） 「WordPress」は世界で5億以上のサイトに用いられており、影響範囲は非常に大きい。Searchlight Cyberは「wp2shell.com」というWebサイトを立ち上げ、脆弱性の影響を受けるかチェックするツールや、対処法を案内している。 「WordPress.org」チームによると、影響を受けるバージョンの「WordPress」サイトに対し、自動更新機能を通じた強制アップデートを実施している。自動バックグラウンド更新に対応したサイトではアップデートが自動的に始まるが、念のためバージョンが最新になっているか確認した方がよいだろう。 テーマやプラグインが「WordPress」のアップデートで壊れるのを恐れて自動更新を無効化しているサイト管理者は、一刻も早くアップデートを適用すべきだ。 詳細は下記 https://forest.watch.impress.co.jp/docs/news/2126337.html |
このエントリのトラックバックURL
http://www.y-pca.jp/modules/weblog/weblog-tb.php/729
投稿された内容の著作権はコメントの投稿者に帰属します。
