WordPress更新中のコード実行、CISAが悪用確認済み一覧に追加

WordPressは記事やページを管理するWebサイト用ソフトウェアです。本体の更新では、新しいファイル一式を受け取り、一時的に展開してから実際のサイトへ移します。その準備場所に外部のWeb要求が届いたり、そこからコードを実行できたりすると、通常の更新と攻撃者の要求が同時期に重なる場合があります。

セキュリティ企業Wordfenceは、本体ファイル一式で更新する際の、予測可能でWebからアクセスできる一時経路が問題と説明しています。以下はその条件を簡略化した図で、攻撃実験や特定サイトの観測結果ではありません。Wordfenceの脆弱性情報

%% 更新中の露出条件と被害・CISAとWordfenceの説明を簡略化
flowchart TD
  A["通常の更新作業<br/>新しい本体ファイルを一時準備"] --> B["脆弱な準備場所に<br/>外部要求が届く時間"]
  B --> C["未認証の攻撃者<br/>準備中のコード実行経路を悪用"]
  C --> D["サーバーでコード実行の可能性<br/>サイトのファイル・データに被害"]

WordfenceはWordPress 4.7から7.1.3の系列を影響範囲として説明し、旧系列ごとの修正版も挙げています。7.1.4より小さい番号というだけで、旧系列の最新セキュリティ版まで未修正とは断定できません。WordPressの公式発表も旧系列への修正移植を説明する一方、積極的にサポートするのは最新版としています。

本体の系列と該当修正を調べ、今後サポートを受ける版への移行も考える必要があります。PHPはWordPressを動かす下層のプログラムです。以前のPHP修正の記録だけで、今回のWordPress本体の修正まで済んだとは分かりません。

コードの修正は、今後同じ脆弱な経路を使わせないための対策です。すでに攻撃があったかは別の記録で判断します。CISAもこの項目をフォレンジックの初期調査が必要な対象としています。サーバー・接続記録やファイルの変化を調べ、何があったかを探る作業です。

以下は運用者が担当チームと相談できる一般的な点検例で、サイトが侵害されたという判定ではありません。疑わしい資料は調査前に一律に消すより、担当者と保全・復旧の順序を決める必要があります。修正は公式の推奨と提供元の手順で速やかに進めます。