UpdraftPlusプラグインの脆弱性で300万超のWordPressサイトにリスク

概要

WordPressサイトで広く利用されている「UpdraftPlus: WP Backup & Migration Plugin」に、重大な脆弱性が発見されました。この脆弱性により、300万以上のWordPressサイトが危険にさらされています。

この欠陥は、認証されていない攻撃者が管理者としてコマンドを実行できるようにするものです。攻撃者は、悪意のあるプラグインをアップロードして有効化し、最終的にはリモートコード実行（RCE）を可能にする可能性があります。

この脆弱性の特に懸念される点は、攻撃者がログインする必要がなく、WordPressアカウントがなくても悪用できることです。ただし、「Migrator key」または「UpdraftCentral key」が有効なサイトが影響を受けるとされています。

バージョン1.26.4を含むそれ以前のすべてのバージョンが影響対象です。この問題は認証バイパスの脆弱性と分類されており、プラグインの本人確認とログイン認証情報のチェックをスキップできてしまいます。

Wordfenceによると、リモート通信メッセージ形式の検証が不十分なため、署名検証がバイパスされ、暗号化キーが予測可能なゼロに陥ることで、攻撃者が偽のRPCコマンドを捏造し、管理者として実行できてしまう状況です。

リモートコード実行（RCE）は、攻撃者がインターネット経由でウェブサイトのホスティングサーバー上で悪意のあるコードを実行できることを意味します。

これにより、攻撃者は認証をバイパスして、悪意のあるWordPressプラグインをアップロード・有効化するコマンドを送り、サイトにバックドアを作成することが可能です。一度悪意のあるプラグインがインストールされれば、データの盗難、マルウェアの追加、サイトファイルの変更、WordPressインストールの乗っ取りなどが行われる可能性があります。

Wordfenceは、24時間の間にこの脆弱性を標的とした8,172件の攻撃をブロックしたと報告しており、攻撃者が積極的に悪用を試みていることが示されています。

UpdraftPlusはすでにパッチを提供しており、ユーザーはバージョン1.26.5以降に更新することでサイトを保護できます。すべてのユーザーは直ちに更新することが推奨されています。

解説

今回のUpdraftPlusの脆弱性は、WordPressサイト運営者にとって極めて深刻な問題です。特に「認証バイパス」と「リモートコード実行（RCE）」という2つのキーワードは、サイトのセキュリティにおいて最も警戒すべき脅威と認識すべきです。

認証バイパスが可能ということは、攻撃者がパスワードやログイン情報を知らなくても、サイトの管理者権限を奪取できることを意味します。さらに、RCEによりサーバー上で任意のコードを実行されると、サイトのデータ盗難、マルウェア感染、改ざん、さらにはサイトが攻撃の踏み台として利用されるなど、壊滅的な被害につながる可能性があります。

UpdraftPlusは300万以上のサイトで利用されている主要なバックアッププラグインであり、その影響範囲は計り知れません。バックアップという重要な機能を担うプラグインの脆弱性は、サイト全体の信頼性に関わるため、より深刻に受け止めるべきです。

対策としては、まずUpdraftPlusのバージョンを即座に確認し、バージョン1.26.5以降にアップデートすることが最優先事項です。特に「Migrator key」や「UpdraftCentral key」を利用しているサイトは、早急な対応が求められます。

今回の事例は、WordPressのプラグインやテーマの定期的なアップデートが、機能追加だけでなくセキュリティパッチの適用という点でどれほど重要かを改めて示しています。また、バックアップは不可欠ですが、バックアッププラグイン自体のセキュリティも常に意識し、信頼できる情報源に基づいて常に最新の状態に保つよう心がけましょう。

さらに、サイトの監視ツールやセキュリティプラグインを導入し、不審なアクセスやファイルの変更を早期に検知できる体制を整えることも、万が一の事態に備える上で非常に有効です。