数千ものWebサイトを危険に晒した、過去の重大なWordPressプラグイン脆弱性6選

世界で約7,500万ものWebサイトを支え、最も人気のあるCMSとして君臨するWordPress。SEOフレンドリーでモバイル対応済みのテンプレートがすぐに使えることから、多くのオンラインショップ運営者や起業家にとって、ネットビジネスを行う上での第一選択となっています。

WordPressには今日、数え切れないほどのプラグインが存在し、Webサイトの機能の大部分を担っています。サイトに追加機能を簡単に実装できることが、WordPressがこれほど人気を博している大きな理由です。

しかし、その圧倒的な人気ゆえに、WordPressはサイバー犯罪の標的になりやすいCMSの一つでもあります。プラグインには脆弱性が潜んでいることが多く、脆弱性を含むプラグインを使用しているサイトは、機密情報の漏洩やサーバー乗っ取りといった深刻なリスクにさらされかねません。サイトに追加するプラグインが1つ増えるごとにセキュリティリスクも増していくため、それぞれのプラグインが定期的にアップデートされているかを確認することが極めて重要です。

以下では、過去に数千ものWebサイトを危険に晒した、悪名高いWordPressプラグインの脆弱性を紹介します。

1. Revolution Slider(RevSlider)の脆弱性

2016年11月に発見されたこの脆弱性は、パッチ未適用のRevolution Image Sliderプラグイン、すなわち旧バージョンのRevSliderに関するもので、多数のWordPressサイトで広く使用されていました。

2016年4月に発生した悪名高い「パナマ文書」流出事件は、まさにこのプラグインの脆弱性が原因でした。当時、2.6TBを超えるデータと1,150万件以上の文書という膨大な個人情報が流出する事態となりました。

この脆弱性により、攻撃者はサーバー上の任意のファイルをダウンロードでき、データベースの認証情報も盗むことが可能でした。その結果、攻撃者はWebサイトを完全に掌握できてしまいます。この種の攻撃はローカルファイルインクルージョン(LFI)攻撃と呼ばれ、攻撃者がサーバー上のローカルファイルへアクセス・閲覧・ダウンロードできてしまうものです。

2. NextGEN Galleryの脆弱性

WordPress CMSで最も人気のあるギャラリープラグインの一つであるNextGEN Galleryには、訪問者がデータベースからパスワードデータや秘密鍵を盗めるような脆弱性が存在しました。100万以上のインストール数を誇るこのプラグインの欠陥はSQLインジェクションのバグで、悪意ある入力をWordPressのプリペアドSQLクエリに注入できるというものでした。さらに特定の条件下では、攻撃者がサーバーのバックエンドデータベースにコマンドを送信することも可能でした。

この脆弱性には、次の2つの攻撃シナリオがありました。

1. サイト所有者がNextGEN Basic TagCloudギャラリー機能を有効にしている場合: この機能により、ユーザーはタグを使って画像ギャラリーを閲覧でき、写真を見ながらURLも変化します。URLパラメータの入力サニタイズが不適切だったため、攻撃者はリンクパラメータを改ざんし、不正なURLが読み込まれた際にプラグインによって実行されるSQLクエリを挿入できました。
2. サイト所有者がブログ記事の投稿を受け付けている場合: この場合、攻撃者はサイトにアカウントを作成し、レビュー用のブログ記事を投稿できるため、悪意あるNextGEN Galleryのコードを挿入可能でした。攻撃者のスキル次第では、内部データベースへのアクセスや個人情報の漏洩につながります。

なお、この脆弱性はNextGEN Gallery バージョン2.1.79で修正されました。WordPressプラグインディレクトリの変更履歴には「Changed: Tag display adjustment(タグ表示の調整)」と記録されています。

3. Neosense バージョン1.7の欠陥

2016年、ビジネステンプレート「Neosense v1.7」に脆弱性が発見されました。これを悪用すると、攻撃者はこのテーマを使用しているサイトへ悪意あるファイルをアップロードできました。Curlを使ってファイルをアップロードし、そのURLから即座に実行するだけで、ユーザーの認証なしにサイトを支配できてしまうのです。

WordPressテーマの開発元であるDynamicPressは、この脆弱性の原因を、セキュリティ対策を一切施さずに導入されたAjaxベースのファイルアップローダー「qquploader」というオープンソースコードにあるとしています。これを悪用した攻撃者は、拡張子「.php」や「.phtml」の悪意あるPHPスクリプトをサイトのダウンロードディレクトリへアップロードし、アップロードディレクトリへのアクセス権を獲得できました。

この脆弱性は、次期バージョンのNeosense v1.8で修正されています。

4. FancyBoxの脆弱性

画像、HTMLコンテンツ、マルチメディアの表示に数千のWebサイトで使用されている人気プラグインFancyBoxには、深刻なゼロデイ脆弱性が発見されました。この脆弱性により、攻撃者は脆弱なサイトへ悪意あるiframe(または任意のスクリプトやコンテンツ)を注入でき、ユーザーを「203koko」というサイトへリダイレクトさせていました。

WordPressで稼働する約7,000万のサイトのうち、約半数がこのプラグインを使用していたことを考えると、影響範囲の大きさがわかります。幸い、この欠陥を修正するため、直後に2つのバージョンがリリースされました。

5. TimThumbの脆弱性

TimThumbと呼ばれるWordPressの画像リサイズライブラリは、多数のWordPressプラグインを悪意ある攻撃の危険に晒しました。この問題の影響を受けた人気プラグインには、WordThumb、WordPress Gallery Plugin、IGIT Posts Sliderなど、数多くのものがあります。

この脆弱性により、攻撃者は影響を受けるWebサイト上で任意のPHPコードをリモート実行できました。一度実行に成功すれば、攻撃者は好きなようにサイトを侵害できます。ハッカーがサーバー上のあらゆるファイルを作成・削除・改変するために使用したコマンドの例が以下です。

この脆弱性は、その後のアップデートでパッチが適用されました。

6. WP Mobile Detectorの脆弱性

10,000以上のWebサイトで使用されていたWordPressプラグイン「WP Mobile Detector」にも欠陥が見つかりました。

この脆弱性は「resize.php」というスクリプトを通じて悪用可能で、リモートの攻撃者がWebサーバーへ任意のファイルをアップロードできてしまいました。アップロードされたファイルはバックドアスクリプト(Webシェルとも呼ばれる)として機能し、サーバーへのバックドアアクセスを提供し、正規ページへの悪意あるコードの注入まで可能になっていました。

新しくインストールしたWordPressサイトを安全に保つ方法について詳しく知りたい方は、包括的なWordPressセキュリティガイドをご覧ください。

WordPressサイトに最高レベルの保護を提供するAstraまでお気軽にお問い合わせください。