WordPress脆弱性を悪用した攻撃が拡大、数千万サイトに危機
原題: Hackers are exploiting recently patched WordPress bugs, putting millions of websites at risk
なぜ重要か
世界中の膨大な数のサイトに影響が及ぶ重大な脆弱性であり、CMS市場のセキュリティ管理体制や自動更新の普及度が改めて問われる事例となっている。
WordPressに先週パッチが適用された2件の重大な脆弱性を悪用したハッキングが確認された。脆弱なバージョン（6.9.0〜6.9.4および7.0.0〜7.0.1）を実行するサイトは公式統計上4億以上に上るが、セキュリティ専門家の推計では現時点で約9,000万サイトが危険にさらされている可能性がある。
WordPressは先週、2件の重大なセキュリティ脆弱性にパッチを適用し、利用者に「即時」のアップデートを強く呼びかけた。脆弱性の深刻度が高いため、WordPress側は可能な範囲で強制的な自動更新も実施した。
しかしその後も、サイバーセキュリティ企業のPatchstack、Hexastrike、WatchTowrの3社がいずれも、脆弱なバージョンのままのサイトに対して実際に攻撃が行われていると警告を発している。
問題の脆弱なバージョンはWordPress 6.9.0〜6.9.4および7.0.0〜7.0.1。WordPress公式統計によると、これらのバージョンを実行しているサイトは4億以上存在するが、この数値は直近でパッチを適用したサイトを反映していない可能性がある。セキュリティコンサルタントのDaniel Card氏が約4,200サイトのサンプルを調査したところ、脆弱なままのサイトは15%未満と推計。この割合をWordPress全体に当てはめると、依然として約9,000万サイトが危険にさらされている計算になる。
2件のうち1件の脆弱性はサイバーセキュリティ企業Searchlight CyberのAdam Kues氏が発見・報告したもので、同社は「WP2Shell」と命名した。この脆弱性と別の脆弱性を組み合わせることで、攻撃者は脆弱なサイトを完全にリモートコントロールできる状態になるという。
Card氏は、Wordpressによる自動更新の推進、Cloudflareによる攻撃ブロック、ウェブファイアウォールなどのセキュリティ対策が被害拡大を抑制していると評価した。WordPressの開発元であるAutomatticおよびWordPress.orgはコメントの要請に回答していない。