WordPress用プラグイン「WPMU DEV Dashboard」に、重大な認証バイパスの脆弱性が確認されました。この脆弱性を悪用すると、Hub シングルサインオン(SSO)を設定している脆弱なサイトに対し、認証を経ていない攻撃者が管理者権限のアクセスを取得できるおそれがあります。
Vulnerabilityscanning service
CVE-2026-76581として追跡されているこの脆弱性は、CVSSスコア9.8と評価されており、WPMU DEV Dashboardのバージョン5.0.1以前に影響します。同プラグインのアクティブインストール数は約35万件に上ります。WPMU DEVは2026年8月24日にバージョン5.0.2をリリースし、この問題に対処しました。
WordPressプラグインの重大な脆弱性
この脆弱性は8月19日、Wordfenceの研究者Alex Thomas氏が、同社のAI搭載脆弱性調査システムであるWordfence Argusの支援を受けて発見しました。詳細はWordfenceのブログ記事で公開されています。
問題の原因は、Hub SSO認証プロセス中にプラグインがHMAC-SHA-256署名を生成・検証する方法に一貫性がないことにあります。
WPMU DEV Dashboardは、SSO認証を開始・完了させるために、認証不要のAJAXアクションであるwdpsso_step1とwdpsso_step2の2つを使用しています。
これらのエンドポイントは、ユーザーがWordPressにログインする前にアクセス可能でなければなりません。しかし、この実装には、署名対象データの曖昧さを攻撃者に悪用される余地がありました。
SSOの第1段階では、プラグインはトークン、ハッシュ化されたstate、リダイレクトURL、サイトドメインという4つの値を連結したものに対してHMACを生成します。
これらの値は区切り文字や長さプレフィックスなしに連結され、HMACは関連する非秘匿値とともにSSO交換の一部として返されます。
第2段階では、プラグインはトークン、state、リダイレクトという3つの値のみから構成されたHMACを検証しますが、ここではドメインが完全に省略されており、しかも区切りのない連結が用いられています。この不整合が、正規化の混同という状態を生み出しています。
攻撃者は、リダイレクトパラメータを空にした状態で第1段階を開始できます。その結果生成される署名は、実質的にtoken || state || domainという構造のバイト列を対象としたものになります。
攻撃者はその後、同じ署名を第2エンドポイントに送信し、リダイレクトフィールドにドメインの値を設定します。第2エンドポイントはtoken || state || redirectに対して検証用HMACを計算するため、結果として同一のバイト列が再構成され、署名が受理されてしまいます。
この攻撃には、サイトのWPMU DEV APIキーを漏えいさせる必要はありません。その代わり、認証不要の第1段階エンドポイントが「署名オラクル」として機能し、別の文脈で再生可能な有効なHMACを生成してしまいます。
追加のリプレイ防止対策も、この攻撃を阻止できません。なぜなら攻撃者は第1段階において、新しいトークン、それに紐づくハッシュ化されたstate、そしてSSO前に必要なCookieを正規に取得できるためです。
検証が成功すると、プラグインはWordPressの認証機能を呼び出し、Hub SSOに紐づけられたアカウントのセッションを生成します。
この紐づけられたアカウントが管理者権限を持つ場合、攻撃者はWordPressインストール全体を完全に制御できるようになります。
有効化されている管理権限の内容によっては、プラグインのインストール、テーマの改変、認証情報の窃取、データへのアクセス、さらにはWordPress標準のコード編集機能を悪用したリモートコード実行にまで発展するおそれがあります。
Datarecovery services
この脆弱性は、WPMU DEV Dashboardのバージョン5.0.0までに影響していた、空キーによるWDP-AUTH検証に関する従来の問題とは別物です。今回新たに公表された脆弱性はバージョン5.0.1でも依然として悪用可能であり、特にHub SSOを有効にして接続しているサイトを標的とします。
5.0.2のパッチでは、第1段階で生成されたHMACをサーバー側に保存し、それが第2段階で受信した署名として再送された場合には拒否するようになりました。テストにより、パッチ適用済みバージョンではwordpress_logged_in Cookieを発行することなく、リプレイ攻撃をブロックできることが確認されています。
管理者は直ちにWPMU DEV Dashboardをバージョン5.0.2以降にアップデートすべきです。すぐにパッチを適用できない組織は、アップデートを導入するまでHub SSOを無効化することが推奨されます。
調査の遅れによるインシデントを未然に防ぎましょう。15,000のSOCから得られる脅威インテリジェンスで、Tier 1のセキュリティ運用を強化できます。 TI LookupをSOCに統合する
翻訳元: https://gbhackers.com/critical-wordpress-plugin-flaw-2/
