Elementor・Beaver Builder向け「Ultimate Addons」に重大な脆弱性 – 今すぐアップデートを

人気のWordPressプラグイン「Ultimate Addons for Elementor」および「Ultimate Addons for Beaver Builder」において、重大な脆弱性が発見されました。Brainstorm Forceチームが開発するこれらのアドオンプラグインは、ElementorやBeaver Builderといった人気ページビルダーに追加ウィジェットや拡張機能を提供するものです。

Ultimate Addonsは公式サイトで脆弱性パッチに関するお知らせを公開し、ユーザーにプラグインの更新を呼びかけています。本記事では、この脆弱性の詳細と攻撃の仕組みについて詳しく解説します。

なお、Brainstorm Forceチームは脆弱性発覚からわずか7時間以内にパッチをリリースしており、その迅速な対応は高く評価されるべきでしょう。

修正済みバージョン:

• Ultimate Addons for Elementor: バージョン 1.20.1
• Ultimate Addons for Beaver Builder: バージョン 1.24.1

上記より古いバージョンのプラグインを使用している場合は、直ちにアップデートしてください。

Ultimate Addonsプラグインは数千ものサイトで利用されています。さらに、この脆弱性の性質上、攻撃者はいずれかのユーザーのメールアドレスさえ知っていれば、プラグインが有効化されているあらゆるWordPressサイトへアクセスできてしまいます。

今すぐアップデートを行ってください。

脆弱性の詳細

問題となったのは、「Login Form(ログインフォーム)」ウィジェットに搭載されているGoogleおよびFacebookログイン機能における、認証不備とセッション管理の脆弱性です。この脆弱性により、攻撃者はユーザーのメールアドレスさえ分かれば、パスワードなしでそのユーザーのWordPress管理画面にログインできる状態になっていました。管理者アカウントへの不正ログインも可能でした。

情報収集技術を駆使すれば管理者のメールアドレスを特定することも可能であり、この脆弱性が悪用されるリスクは現実的なものでした。

関連ガイド: WordPressハッキング被害からの復旧方法

管理者権限を奪取されると、攻撃者はサイトをさまざまな形で悪用できるようになります。最も深刻なのは、サイト改ざん、不正リダイレクト、スパム投稿、データ窃取(個人情報・金融データ)、悪意あるポップアップ表示、データベースへの不正アクセスなどです。

ハッキングの技術的詳細

Google/Facebookログインモジュールの検証処理が不十分だったため、攻撃者はUltimate Addonsプラグインが使用するwp-adminのAJAX関数を悪用できました。

ソーシャルログインモジュールを利用しているサイトでは、攻撃者はGoogle/Facebookでの認証に成功した後、AJAX関数へ送信されるメールアドレスを改ざんできます。プラグインは送信されたメールアドレスを受け取り、Google/Facebookから返されたデータの真正性を検証せずにログイン処理を実行していました。コード自体はWordPressが設定するノンス(nonce)トークン(CSRFトークンに類似)でAJAXリクエストを検証していましたが、それだけではGoogle/Facebook APIが実際に返したメールアドレスと一致しているかを確認できなかったのです。

POSTデータが検証なしで直接ログイン処理に使用されていました。本来であれば、Google/FacebookのOAuthが提供するデータの真正性を確認するため、各サービスへの検証APIコールを実行すべきでした。

詳細についてはこちらをご覧ください: Google Identity Platform ドキュメント

ハッキングされた可能性がある場合 – 今すぐ対処を

すでに被害を受けている場合は、Astraによるマルウェア除去サービスで迅速にサイトを復旧できます。また、Astraをご利用中のお客様は、仮想パッチング技術によってこの種の脆弱性から保護されます。

ハッキングされたかどうかの確認方法

以下のような症状が見られる場合は、ハッキング被害の可能性があります:

• WordPress管理画面に見覚えのない新しい管理者ユーザーが作成されている
• ウェブサイトが悪意のあるサイトへリダイレクトされる
• 自分のサーバーからスパム/フィッシングメールが送信されている
• 訪問者がサイトを開くと悪意のあるポップアップが表示される
• Googleから訪問者へ赤い警告ページが表示される

上記以外の症状に心当たりがある場合は、ハッキングの兆候一覧をご参照ください。

自分でできる対策

ご自身でWordPressサイトを管理しており、ハッキングの修復と再発防止に取り組みたい場合は、以下の手順を実施してください:

1. 脆弱なプラグイン、WordPress本体、その他のプラグインをすべて最新版に更新する
2. サイトの管理者アカウントを監査し、新しく追加された管理者アカウントがないか確認する。攻撃者は管理者権限を取得すると、脆弱性が修正された後もアクセスを維持するために新たな管理者ユーザーを作成することがあります
3. FTP/SFTPまたはcPanelのファイルマネージャー経由でサーバーにログインし、サイトのルートディレクトリに不明なファイルがないか確認する。被害を受けたサイトでは tmp.zip、wp-xmlrpc.php、adminer.php といったファイルが発見されています
4. WordPress管理画面に二要素認証(2FA)を導入する
5. wp-admin領域にIP制限を設定し、許可リストに登録されたIPアドレスのみアクセスできるようにする

関連記事: WordPressマルウェア完全除去ガイド

正しいアップデート方法

Ultimate Addons for Elementorのアップデート方法

Ultimate Addons for Elementor(UAE)をアップデートするには、以下の手順に従ってください:

1. 最新版を公式サイトからダウンロードします
2. 以前インストールしたバージョンを削除します。データが失われることはありませんのでご安心ください
3. ダウンロードしたzipファイルをWP-adminで新規プラグインとしてアップロードします
4. インストールして有効化します

以上で完了です。

Ultimate Addons for Beaver Builderのアップデート方法

Ultimate Addons for Beaver Builder(UABB)をアップデートするには、以下の手順に従ってください:

1. 最新版を公式サイトからダウンロードします
2. 以前インストールしたバージョンを削除します。データが失われることはありませんのでご安心ください
3. ダウンロードしたzipファイルをWP-adminで新規プラグインとしてアップロードします
4. インストールして有効化します

以上で完了です。

Astraでウェブサイトを保護しよう

幸い被害を受けていない方も、サイトのセキュリティを運任せにしてはいけません。セキュリティ対策を怠れば、長期的には必ず大きな代償を払うことになります。ハッカーの言いなりになるのではなく、自らサイトの安全を守りましょう。

信頼できるセキュリティソリューションを選び、サイトに適切な保護を導入することをおすすめします。

ご質問がある場合は、下のコメント欄でお知らせいただくか、セキュリティ専門家までお気軽にご相談ください。喜んでサポートいたします :)