Elegant Themes製「Divi Builder」に発見された重大な脆弱性とは?原因と修正方法を徹底解説

影響を受けるプラグイン・テーマ:

• Divi Builderプラグイン
• Diviテーマ
• Extraテーマ

脆弱性の公表日: 2020年1月2日

パッチ公開日: 2020年1月3日

修正済みバージョン:

• Divi Builderプラグイン – 4.0.10
• Diviテーマ – 4.0.10
• Extraテーマ – 4.0.10

Elegant Themes社の「Divi Builder」は、WordPressで最も人気のあるページビルダープラグインです。コーディングの知識がなくても美しいページを作成できることから、60万以上のサイトで利用されています。これらのサイトの多くは、同時にDiviテーマまたはExtraテーマも使用しています。

しかし、Divi Builderプラグイン、Diviテーマ、Extraテーマには重大な脆弱性が発見されました。この脆弱性は悪用される可能性があり、あなたのウェブサイトに深刻な被害をもたらしかねません。直ちに対策を講じる必要があります。本記事では、サイトを守るために必要な情報を詳しく解説します。

Diviの脆弱性とは?どのような影響がある?

セキュリティ監査の中で、Elegant Themes社の開発チームは「コードインジェクション(コード挿入)脆弱性」と呼ばれる種類の脆弱性を発見しました。この脆弱性により、寄稿者・投稿者・編集者といった権限を持つユーザーが、特定のPHP関数を実行できてしまうのです。

言い換えれば、信頼できないユーザーでもこの脆弱性を悪用できるということです。もし影響を受けている場合は、速やかに対処しなければなりません。

自分のサイトはDiviの脆弱性の影響を受けている?

以下のバージョンを使用しているサイトは、この脆弱性の影響を受けます。

• Divi Builder バージョン2.23以降
• Divi バージョン3.23以降
• Extra バージョン2.23以降

では、自分が使っているバージョンはどうやって確認すればよいのでしょうか。

• Divi Builderプラグインの場合: WordPressの管理画面にログインし、「プラグイン > インストール済みプラグイン > Divi Builder」を開きます。プラグインの説明欄にバージョン番号が表示されます。
• テーマの場合: 「外観 > テーマ > Divi / Extra」を選択し、「詳細」をクリックすると、テーマのバージョンを確認できます。

Diviの脆弱性の影響を受けるサイトの修正方法

解決策はシンプルです。プラグインとテーマを最新版にアップデートすれば問題は解消します。

脆弱性が発見された後、Elegant Themes社はアップデートという形でパッチをリリースしました。アップデート手順は以下の通りです。

まずWordPressの管理画面にログインし、メニューから「更新」を選択します。

更新ページには、アップデートが必要なテーマやプラグインがすべて表示されます。

• Divi Builderプラグインを選択し、「プラグインを更新」をクリック
• DiviテーマとExtraテーマを選択し、「テーマを更新」をクリック

これにより、セキュリティパッチが含まれたバージョン4.0.10へと更新されます。

ライセンスが期限切れの場合は?

Elegant Themesのサブスクリプションが期限切れになっていても、心配いりません。更新のために契約を更新する必要はなく、WordPressの管理画面からそのままソフトウェアをアップデートできます。

すでにハッキングされている可能性は?

ハッカーたちは常に、悪用できる脆弱性を探し回っています。サイトへの不正アクセスを少しでも疑ったら(ハッキングされたサイトの兆候についての記事も参考になります)、まずはサイトをスキャンすることをおすすめします。ハッキングされていたことが判明したら、すぐにクリーニングしましょう。具体的な手順は以下の通りです。

ステップ1: WordPressセキュリティプラグイン「MalCare」をインストールして有効化します。次に、自サイトをMalCareのダッシュボードに追加すると、自動スキャンが即座に開始されます。マルウェアが検出された場合は通知が届きます。

ステップ2: サイトからマルウェアを除去するには、MalCareの「自動クリーニング(Auto-Clean)」ボタンをクリックするだけです。プラグインがすぐにサイトを清掃してくれます。

まとめ

すべてのユーザーを信頼しており、今のところサイトに危険がないと感じていたとしても、必ず脆弱性にパッチを適用してください。

万が一ハッカーがこれらのユーザーアカウントの1つに侵入した場合、この脆弱性を利用して悪意あるコマンドを実行できてしまいます。その結果生じる被害は深刻で、修復にも多大なコストがかかります。だからこそ、Divi BuilderプラグインおよびDivi・Extraテーマを今すぐアップデートしましょう。

常にサイトを最新の状態に保つことがどれほど重要か、お分かりいただけたと思います。使用しているテーマやプラグインには、時間の経過とともに脆弱性が発生します。開発者が脆弱性を発見すると、セキュリティパッチを含むアップデートをリリースします。

定期的にアップデートしていないサイトは、常に危険にさらされています。WordPressのアップデートに関する詳細ガイドもぜひご覧ください。

こうした脆弱性以外にも、WordPressサイトはログインページへのブルートフォース攻撃など、さまざまな脅威にさらされています。あらゆる脅威からサイトを守るためには、MalCareのようなセキュリティプラグインの活用が不可欠です。毎日サイトをスキャンし、ハッキングされていれば即座にクリーニングし、ハッカーやボットからサイトを守ってくれます。

今すぐMalCareセキュリティサービスを試してみよう!