WPMU DEV Dashboardプラグインに存在する重大な認証バイパスの脆弱性により、未認証の攻撃者が脆弱なWordPressサイトの管理者権限を取得し、任意のコードを実行できる可能性があることが分かりました。
CVE-2026-76581として追跡されているこの脆弱性は、CVSSスコア9.8を記録しており、WPMU DEV Dashboardのバージョン5.0.1以前に影響します。このプラグインは推定35万件のWordPressサイトで使用されており、バージョン5.0.2で修正パッチが適用されました。
この脆弱性は、Wordfenceの研究者であるAlex Thomas氏が、同社の脆弱性発見システム「Argus」の支援を受けた社内調査の過程で、8月19日に発見しました。
悪用が成立するには、対象のWordPressサイトがWPMU DEVに接続されており、Hub Single Sign-Onが有効化されていて、かつHub SSOアカウントがWordPress管理者にマッピングされている必要があります。
問題の根本原因は、プラグインのHub SSOワークフローで使用される2つの未認証AJAXアクション、wdpsso_step1とwdpsso_step2の間で、HMACメッセージの構築方法に一貫性がなかったことにあります。
この両エンドポイントは、訪問者がWordPressにログインする前からアクセス可能な状態になっています。しかし、その暗号検証ロジックは、各フィールドを本来意図された意味に一貫して紐付けていませんでした。
SSOの最初のステップでは、プラグインはトークン、ハッシュ化されたstate値、リダイレクトパラメータ、サイトドメインを、区切り文字や長さプレフィックスなしに連結してHMAC-SHA256署名を生成していました。
最初のステップで署名されるメッセージはtoken || state || redirect || domainと表せます。これに対し、第2ステップではtoken || state || redirectのみに基づいてHMACを検証しており、domainフィールドは完全に省略されていました。
両方の処理とも区切り文字や構造化されたシリアライズ、フィールド長の検証を用いていなかったため、攻撃者は同一のバイト列が各エンドポイントでどう解釈されるかを操作できてしまいます。
未認証の攻撃者は、リダイレクト値を空にして最初のステップをリクエストできます。すると、サーバー側はtoken || state || domainに相当するメッセージに署名することになります。
攻撃者はその有効なHMACを第2エンドポイントに送信する際、返されたdomainの値をredirectフィールドに移し替えます。第2エンドポイントは同一のバイト列を再構築しますが、そのdomainの値をredirectの値として解釈してしまいます。
算出されたHMACが攻撃者側から提示された署名と一致するため、このリクエストは正規のものとして受け入れられてしまう可能性があります。
この攻撃はWPMU DEVのAPIキーの漏えいを必要としません。代わりに、最初のSSOアクションが事実上署名オラクルとして機能し、攻撃者に有効なHMACと、認証のやり取りを完了させるために必要な非秘匿の値一式を提供してしまうのです。
Alex Thomas氏によれば、この検証プロセスが成功すると、プラグインはHub SSOに紐付けられたユーザーのためのWordPress認証セッションを作成します。そのアカウントが管理者権限を持つサイトでは、攻撃者はWordPressインスタンスを完全に掌握できることになります。
管理者権限でのアクセスは、プラグインやテーマの組み込みエディタといったコード書き込み機能が有効になっている場合、リモートコード実行につながる可能性があります。
また攻撃者は、悪意のあるプラグインをインストールしたり、永続的な管理者アカウントを作成したり、ウェブサイトのコンテンツを改ざんしたり、データを窃取したり、バックドアを設置したりする恐れもあります。
WPMU DEVは、Wordfenceからの報告を受けて事前公開パッチをレビューに提出した後、8月24日にバージョン5.0.2をリリースしました。このアップデートでは、最初のステップで生成されたHMACをサーバー側に保存し、第2ステップで着信した署名としてそれが再利用された場合にはリクエストを拒否するようになっています。
Wordfence Premium、Care、Responseの各顧客には8月25日にファイアウォールルールが提供されました。無料版のWordfenceユーザーには、9月24日に同じ保護機能が提供される見込みです。サイト運営者は直ちにバージョン5.0.2へアップデートするか、パッチ適用が完了するまでHub SSOを無効化することが推奨されます。
セキュリティチームに、疑わしい活動をより迅速に調査し、事業への影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを提供しましょう。ANY.RUNで調査体制を強化する
翻訳元: https://cyberpress.org/critical-wpmu-dev-dashboard-flaw/
