PHPコード実行攻撃の脅威にさらされるWordPressサイト|未完了インストールが招く深刻なリスク

WordPressは、大規模なユーザーベースと多彩な機能を備えていることから、古くからインターネット上の詐欺師たちの格好の標的となってきました。脆弱なプラグインの使用、最新バージョンへの未更新、セキュリティパッチの不定期な適用、セキュリティ対策への怠慢などが、WordPressサイトへの大量攻撃を引き起こす主な要因です。

インストールが未完了のまま放置されたWordPress環境は、世界で最も人気のあるCMSをPHPコードインジェクション攻撃に対して脆弱なものにしています。2017年6月には720万件を超える攻撃が確認されました。このコードインジェクション攻撃キャンペーンは、特に5月から6月にかけてピークを迎え、攻撃者は「インストールしたばかりで設定が完了していない」WordPress環境を集中的に狙いました。このPHPコード実行攻撃により、攻撃者は管理者権限を奪取し、わずかな時間でウェブサイト全体を完全に支配できてしまうのです。

なぜWordPressが狙われるのか?

WordPressは、BBC America、TechCrunch、Sony Musicなど、世界有数の有名サイトを多数ホストしています。その圧倒的な人気ゆえに、善意のユーザーだけでなく悪意ある攻撃者をも引きつけるのです。Windows OSがマルウェアの主要標的であり、Android OSがモバイルマルウェアの標的となるのと同じように、市場シェア約59%を誇るWordPress CMSは、最も狙われやすいプラットフォームの一つです。WordPressベースのサイトが膨大に存在すること自体が、正規サイトを装ったWordPressサイトを乗っ取り、自らのマルウェアを無料で設置しようとするスパマーやサイバー犯罪者にとって絶好の狩場となっています。

コードインジェクション:WordPressサイトはどう攻撃されるのか

多くのWordPressユーザーは、アーカイブファイルをホスティングアカウントのディレクトリに展開するか、ホスティングプロバイダーが提供するワンクリックインストーラーを使ってプラットフォームを導入します。しかし、ユーザー自身が設定ファイルを作成して初期設定を完了させるまで、インストールプロセスは途中のままです。ここにこそ、インストールを完了させなかったサイトオーナーが攻撃に晒される最大の原因があります。

攻撃者はまず、セットアップ用URLをスキャンし、インストールの設定段階が未完了のままになっているWordPressインスタンスを特定します。こうしたサイトは外部からの操作に対して無防備であり、第三者が所有者の代わりにインストールを勝手に完了させてしまう余地を残しています。

WordPressサイトを乗っ取る際、攻撃者は未設定のまま放置されたサイトを引き継ぎ、テーマを読み込んでPHPコードを挿入するか、独自のプラグインを作成してアップロードします。一度管理者権限を握られれば、攻撃者は自由にPHPコードを実行し、一連の悪意ある活動を展開できます。管理者として、攻撃者はホスティングサーバー上のあらゆるファイルやウェブサイト、さらにはデータベースまでもアクセス可能になります。

WordPressを守るためのセキュリティベストプラクティスについては、ぜひ当社ブログもご参照ください。

この脆弱性への対策として最も基本的なのは、インストール時のWordPress設定を確実に完了させることです。加えて、今こそサイト管理者は、未完了のインストールが残っていないかサイト全体をスキャンすべきです。定期的なモニタリングと監査を実施することで、将来的な同種の攻撃からもサイトを守ることができます。