WordPress Automatic Plugin狙う攻撃を550万件以上確認、アップデートを
マイナビニュース2024年4月29日(月)18時20分
WPScanはこのほど、「New Malware Campaign Targets WP-Automatic Plugin|WPScan」において、WordPressのコンテンツ自動投稿プラグイン「WordPress Automatic Plugin by ValvePress | CodeCanyon」から発見された緊急の脆弱性が積極的に悪用されているとして、注意を喚起した。
2024年3月13日(米国時間)に公開されたこの脆弱性はSQLインジェクションとされ、認証されていない攻撃者に悪用されるとWebサイトに不正アクセスされる可能性がある。
○脆弱性の概要
脆弱性に関する情報は次のページにまとまっている。
Automatic <= 3.92.0 - Unauthenticated SQL Injection
脆弱性のCVEは次のとおり。
CVE-2024-27956 - SQLインジェクションの脆弱性
○脆弱性の影響を受ける製品
脆弱性の影響を受けるとされる製品およびバージョンは次のとおり。
WordPress Automatic Plugin バージョン3.92.0およびこれ以前のバージョン
○脆弱性を修正した製品
脆弱性を修正した製品およびバージョンは次のとおり。
WordPress Automatic Plugin バージョン3.92.1およびこれ以降のバージョン
○脆弱性が及ぼす影響と対策
認証されていない攻撃者はこの脆弱性を悪用し、不正なSQLクエリを実行することができる。これまでに確認された事案では、攻撃者はSQLクエリを通じてWordPressサイトに新しい管理者アカウントを作成し、Webサイトに侵入して追加のプラグインやマルウェア(バックドアなど)を展開するとされる。
この脆弱性の深刻度は緊急(Critical)と評価されており注意が必要。WPScanはこの脆弱性を悪用した攻撃をこれまでに550万回以上確認したという。このような攻撃を回避するために、当該プラグインの利用者には次のような対策が推奨されている。
WordPress Automatic Pluginを最新版にアップデートする
WordPressのアカウントを監査し、不審な管理者アカウントを削除する
Webサイトのイミュータブルバックアップを定期的に作成する。また、バックアップを復元できることを確認する
WPScanは調査の過程で判明したセキュリティ侵害インジケーター(IoC: Indicator of Compromise)を公開している。このIoCに該当する兆候を発見した場合はすでに侵害されている可能性があるため、速やかに専門家またはセキュリティ企業に相談することが推奨されている。
2024年3月13日(米国時間)に公開されたこの脆弱性はSQLインジェクションとされ、認証されていない攻撃者に悪用されるとWebサイトに不正アクセスされる可能性がある。
○脆弱性の概要
脆弱性に関する情報は次のページにまとまっている。
Automatic <= 3.92.0 - Unauthenticated SQL Injection
脆弱性のCVEは次のとおり。
CVE-2024-27956 - SQLインジェクションの脆弱性
○脆弱性の影響を受ける製品
脆弱性の影響を受けるとされる製品およびバージョンは次のとおり。
WordPress Automatic Plugin バージョン3.92.0およびこれ以前のバージョン
○脆弱性を修正した製品
脆弱性を修正した製品およびバージョンは次のとおり。
WordPress Automatic Plugin バージョン3.92.1およびこれ以降のバージョン
○脆弱性が及ぼす影響と対策
認証されていない攻撃者はこの脆弱性を悪用し、不正なSQLクエリを実行することができる。これまでに確認された事案では、攻撃者はSQLクエリを通じてWordPressサイトに新しい管理者アカウントを作成し、Webサイトに侵入して追加のプラグインやマルウェア(バックドアなど)を展開するとされる。
この脆弱性の深刻度は緊急(Critical)と評価されており注意が必要。WPScanはこの脆弱性を悪用した攻撃をこれまでに550万回以上確認したという。このような攻撃を回避するために、当該プラグインの利用者には次のような対策が推奨されている。
WordPress Automatic Pluginを最新版にアップデートする
WordPressのアカウントを監査し、不審な管理者アカウントを削除する
Webサイトのイミュータブルバックアップを定期的に作成する。また、バックアップを復元できることを確認する
WPScanは調査の過程で判明したセキュリティ侵害インジケーター(IoC: Indicator of Compromise)を公開している。このIoCに該当する兆候を発見した場合はすでに侵害されている可能性があるため、速やかに専門家またはセキュリティ企業に相談することが推奨されている。
「Word」をもっと詳しく
「Word」のニュース
-
5月のWordPressプラグイン脆弱性まとめ、確認と対応を6月4日9時29分
-
オープンソースのWordPressローカル開発環境「Studio」のWindows版リリース5月31日15時2分
-
サイト制作・集客の個別相談ができる「WordPress個人レッスン」2024年6月のお申し込み受付開始のお知らせ5月30日9時0分
-
WordPressサイトがノーコードで作れる!Elementor対応WordPressテンプレートを販売開始5月29日9時0分
-
【新発売】パスワードアンロッカー「iMyFone Passper Pro」新登場!PDF/RAR/ZIP/Excel/Word/PowerPointパスワード解除に役立つ5月24日18時0分
-
LegalOn Global、Word上で契約書の自動レビューが可能な新機能を提供開始5月20日11時47分
-
LegalOn Technologies US、Microsoft Word上で契約内容を直接編集できる「LegalOn Contract AI」機能を提供開始5月20日10時46分
-
Microsoft Wordのデフォルトの貼り付けオプションが「書式を結合」に変更へ5月17日16時36分
-
簡単設定でアクセス元の国や地域を判定!WordPressプラグイン「DocoDoco Country Redirection(どこどこカントリーリダイレクション)」を2024年5月15日リリース5月15日12時16分
-
ラグレスプロテインpresents「Word vol.2 Re:time」を福岡トヨタホール スカラエスパシオにて8月17日に開催!5月14日15時15分