WordPressは、重大な影響を及ぼす認証済みリモートコード実行(RCE)脆弱性に対処するため、バージョン7.0.4をリリースしました。この脆弱性により、投稿者(Author)レベル以上の権限を持つユーザーが、影響を受けるサイト上でコードを実行できるおそれがあります。
Vulnerabilityassessment service
CVE-2026-65640およびGHSA-8vr3-7mxf-gx8wとして追跡されているこの脆弱性は、アップロードされたファイルの処理にImagick拡張機能とGhostscriptを併用しているWordPressのインストール環境に影響します。今回のセキュリティリリースは緊急性が高いとされており、管理者には直ちにアップデートを適用するよう推奨されています。
WordPressのRCE脆弱性
この脆弱性は、pwn.aiのセキュリティ研究チームによって責任ある形で開示されました。同チームのアドバイザリによると、悪意あるファイルアップロードを悪用することで、認証済みの投稿者(Author)以上の権限を持つユーザーが、特定のサーバー構成下でリモートコード実行を達成できる可能性があるとのことです。
投稿者には通常、メディアファイルのアップロードや自身の投稿の公開が許可されているため、この問題は複数の著者が関わるWebサイト、報道機関、コミュニティプラットフォーム、ブログ、そして複数ユーザーに投稿権限を付与することが多いマネージドWordPress環境にとって、特に重大な意味を持ちます。
この攻撃ベクトルは、WordPressのメディア処理、Imagick PHP拡張機能、Ghostscriptの相互作用に依存しています。WordPressは画像処理やサムネイル生成に広くImagickを使用しています。
同時に、Ghostscriptは、PostScriptやPDF文書のレンダリングおよび変換のために頻繁に導入されています。この処理チェーンにおいて、特別に細工されたファイルが不適切に処理されると、攻撃者がGhostscriptを操作して制御下にあるコンテンツを解釈させ、Webサーバー上で任意のコマンドを実行できるようになるおそれがあります。
攻撃を成功させるには、投稿者レベル以上のアクセス権を持つ有効な認証済みアカウントが必要となるため、未認証のRCE脆弱性と比較するとリスクは低減されています。
ただし、この権限レベルの要件を強固なセキュリティ境界とみなすべきではありません。攻撃者は、フィッシング、パスワードの使い回し、クレデンシャルスタッフィング、侵害された管理者端末、あるいは脆弱なサードパーティ製プラグインなどを通じて、正規のWordPress認証情報をしばしば入手します。
したがって、侵害された投稿者アカウントは、サーバーサイドの侵害、Webシェルの展開、永続化メカニズムの確立、データ窃取、あるいはホスティング環境内での横方向移動の足がかりとなる可能性があります。
このセキュリティ修正を含むWordPressバージョン7.0.4は、ダッシュボード→更新の画面から、あるいはWordPress.orgからの直接ダウンロードとして、すでに提供されています。
バックグラウンドでの自動更新が設定されているサイトでは、間もなくこのパッチが適用され始める見込みです。WordPressのセキュリティチームはまた、この修正が4.7ブランチおよび近日公開予定のWordPress 7.1 RC3にもバックポートされることを確認していますが、実際にサポートが継続されるのは最新版のWordPressのみです。
管理者は、特にImagickとGhostscriptが導入されている本番サイトのアップデートを優先すべきです。セキュリティチームは、投稿者・編集者アカウントを見直して不要な権限を取り消し、不審なユーザーの認証情報をリセットし、多要素認証を強制するとともに、不審なアップロードやGhostscript関連の予期しない動作がないかWebサーバーのログを調査する必要があります。
新規に作成されたPHPファイル、テーマやプラグインディレクトリの変更、外部への通信、異常なプロセス実行を監視することで、侵害後の不審な挙動を早期に把握できます。
今回のリリースはJohn Blackbourn氏が主導し、Dennis Snell氏、Jeremy Felt氏、そして幅広いWordPressコントリビューターコミュニティが大きく貢献しました。
新たなフィッシングやマルウェアが貴社を侵害する前に阻止しましょう。 世界15,000のSOCからのライブインテリジェンスを統合
Antivirus& Malware
翻訳元: https://gbhackers.com/wordpress-rce-vulnerability/
