ハッカーがパッチ適用済みのWordPressバグを悪用、数百万のサイトが危険に

ハッカーがWordPressの最近パッチが適用された2つのセキュリティ脆弱性を積極的に悪用しており、数百万のウェブサイトがリモート乗っ取りの危険にさらされています。これらの欠陥は10月下旬に公開され修正されましたが、攻撃者がパスワードなしでサイトの完全な制御を取得することを可能にします。サイバーセキュリティ研究者であるSucuriのMarc Montpas氏によると、これらの脆弱性は最新アップデート以前のすべてのWordPressバージョンに影響し、人気のコンテンツ管理システムを実行する数千万のウェブサイトに影響を与える可能性があります。

2つのバグは、保存型クロスサイトスクリプティング（XSS）脆弱性とリモートコード実行（RCE）欠陥です。XSS欠陥により攻撃者はサイトに悪意のあるスクリプトを注入でき、RCE欠陥によりサーバー上で任意のコードを実行できます。これらが組み合わさると、データ盗難、マルウェア配布、改ざんなど、サイトの完全な侵害につながる可能性があります。Montpas氏は、WordPressが全ウェブサイトの40％以上を動かしていることを考えると、脆弱なサイトの数は数千万に上ると推定しています。

WordPressは2024年10月30日にこれらの問題に対処するセキュリティアップデートをリリースしました。しかし、多くのサイト所有者はまだパッチを適用しておらず、サイトを露出したままにしています。研究者は、エクスプロイトコードがすでに出回っており、実際の攻撃が観察されていると警告しました。彼はすべてのWordPress管理者に対し、インストールを直ちにバージョン6.6.3以降に更新し、侵害の兆候がないか確認するよう促しました。

これはWordPressがセキュリティ欠陥の広範な悪用に直面した初めてのケースではありません。過去には、同様の脆弱性が大規模なボットネットやウェブサイト乗っ取りにつながりました。現在の状況は、特に機密データを扱うサイトやeコマース運営を行うサイトにおいて、タイムリーなアップデートの重要性を強調しています。今後、サイト所有者は自動アップデートを有効にし、ウェブアプリケーションファイアウォールや定期的なセキュリティ監査などの追加のセキュリティ対策を検討してリスクを軽減する必要があります。