WordPressのYuzo関連投稿プラグインに発覚したエクスプロイト(XSS脆弱性)とは?

WordPressをめぐる攻撃や脆弱性の公開は、いまだに収まる気配がありません。今回新たに話題となっているのは、人気プラグインの一つ「Yuzo Related Posts(関連投稿)」に関するエクスプロイトです。攻撃者がXSS(クロスサイトスクリプティング)脆弱性を悪用し、サイト訪問者を悪意のあるサイトへリダイレクトさせていたことが報じられました。

関連ガイド:WordPressハッキングからの復旧方法

WordPress.orgのデータによると、Yuzo Related Postsプラグインは6万以上のサイトにインストールされています。このリダイレクト型エクスプロイトを受けて、WordPressフォーラムでは多数の対処手順が共有されました。その中には、「被害を確認し、自サイトを守るために、できるだけ早くプラグインをアンインストールすること」と明確に推奨するものもありました。

Yuzoプラグインエクスプロイトの原因となったコード

まず第一に、この脆弱性は3月30日にセキュリティ開発者によって公開されましたが、当時プラグインを利用していた約6万人のユーザーへの事前通知は行われませんでした。これこそが、Yuzoプラグインエクスプロイトが深刻な被害につながった最大の要因です。攻撃者は無償で脆弱性という「武器」を手に入れる一方、ユーザーは自らのサイトを危険にさらす結果となりました。

その後、Yuzo Related Postsプラグインは新規インストールを防ぐため、速やかにWordPress公式プラグインディレクトリから削除されました。しかし、すでにインストール済みのバージョンに対するパッチは提供されなかったため、攻撃者は自由に侵入し、思うままに悪用を続けられる状態が残ってしまったのです。

WordPressサイトがスパムページにリダイレクトされていませんか?チャットウィジェットからご連絡いただければ、喜んでお手伝いいたします。

今すぐWordPressサイトからマルウェアを除去する

筆者もエクスプロイト発覚後、WordPress上でYuzoの詳細説明を確認しようと試みましたが、代わりに表示されたのは次の画面でした。

is_admin()関数の誤用が引き金に

第二に、問題の発端となっていたのはis_admin()のコードでした。開発者が以下の箇所でis_admin()を誤って使用したことで、攻撃者がJavaScriptなどの悪意あるコードをプラグインの設定に挿入できる状態を作り出していました。

is_admin()の誤った使用例は以下の通りです。

さらに、攻撃者は計画を実行するために、ファイルyuzo_related_post_css_and_styleに以下のコードを挿入しました。その結果、サイトにアクセスするとスパムサイトへ強制的にリダイレクトされるようになったのです。

関連記事:WordPressリダイレクトハックの対処法

関連記事:WordPressのeval(base64_decode)PHPハックの駆除と修復方法

上記のコードを難読化解除(デオブファスケート)すると、以下のように内容が格段に判別しやすくなります。

本記事の内容を短時間で把握したい方は、以下の動画をご覧ください。

まとめ:Yuzoプラグインエクスプロイトへの対策

Yuzoプラグインエクスプロイトの詳細が明らかになった今こそ、プラグインのアンインストール、テーマの更新、機密性の高いパスワードの再設定といった保護策を講じることが重要です。同時に、今後はこの種のミスに対しても常に警戒を怠らないようにしましょう。

もし現在の感染の駆除に支援が必要な場合は、いつでもAstraにご相談ください。専門家によるサポートをご提供します。当社のマルウェアスキャナーは、15分以内にマルウェアを検出・除去します。さらに、VAPT(脆弱性診断およびペネトレーションテスト)も実施しており、エンジニアがサイトに脆弱性が残っていないことを徹底的に確認いたします。

Astraのマルウェアスキャナーなら、月額わずか19ドルからサイトの保護を始められます。

今すぐAstraのデモをお試しください!