WordPress本体に乗っ取りの危険、すぐ更新を
原題：WordPress 7.1.4 Patches Unauthenticated Upgrade-Window RCE; Exploitation Attempts Detected After Release
何が起きた
WordPress 7.1.4 など各系統の修正版が公開され、本体の更新中の短い時間を狙ってサーバー上でコードを実行される欠陥(22件の修正の中で最重要)が直されました。Wordfence は公開直後から攻撃の試行を確認しており、自動更新が完了したか確認が必要です。
誰に影響
- WordPress でサイトを運営している人
- WordPress の保守を請け負う制作会社
何をすべき
ダッシュボードの「更新」で WordPress 7.1.4(または自分の系統の修正版)になっているか今日中に確認し、未更新なら手動で更新してください。未更新だった場合は wp-content/upgrade 配下への不審なアクセスや見覚えのない管理者・プラグインがないか確認してください。
対象の製品と版
| 製品 | 影響する版 | 修正版 |
|---|---|---|
| WordPress Core | 4.7 〜 7.1.3 | 7.1.4(各系統: 7.0.8, 6.9.11, 6.8.12 ほか。4.7.39 まで) |
この FLAG にした理由
サーバー乗っ取りに至る重大な欠陥で、第三者(Wordfence)が攻撃試行を観測。ただし成功には更新中の数秒の競合に勝つ必要があり、実際の悪用成功は未確認で、KEV等の公的確認もないため RED ではなく DOUBLE_YELLOW を提案。
二重黄旗：大きな危険、止まれる準備を — 深刻な影響があり、攻撃コードの公開や悪用の報告があるもの。RED の根拠を確認中のものも含みます。