The Events Calendar WordPressプラグインに存在する2つの深刻な未認証脆弱性チェーンにより、リモートの攻撃者が管理者パスワードをリセットしたり、OSコマンドを実行したり、脆弱なウェブサイトを乗っ取ったりできる可能性があることが判明しました。
この脆弱性の影響を受けるのは、60万を超えるサイトにインストールされている広く利用されているWordPressプラグイン「The Events Calendar」です。同プラグインの開発元であるStellarWPは修正版をリリースしており、管理者に対して直ちにバージョン6.17.4.1へアップデートするよう呼びかけています。
これらの脆弱性はCVE-2026-78006およびCVE-2026-78159として追跡されており、いずれもCVSS深刻度スコアは10点満点中9.8となっています。
CVE-2026-78006はバージョン6.17.4以前のプラグインに影響し、未認証のPHPオブジェクトインジェクションを可能にし、リモートコード実行につながる恐れがあります。
攻撃者は安全でないデシリアライズ処理を悪用してプラグイン内のガジェットチェーンを引き起こし、背後にあるウェブサーバー上で任意のコマンドを実行できます。
もう一つの脆弱性CVE-2026-78159は、バージョン6.17.3以前に影響します。ウィジェットのclassesマップに対する検証が不十分であることに起因しており、任意のPHP呼び出し可能オブジェクトの実行を許してしまう可能性があります。
攻撃者はシステムコマンドを直接実行する代わりに、攻撃者が制御する引数を使ってWordPressの各種関数を呼び出すことができます。
研究者らは、この手法を用いてwp_update_user()関数を呼び出し、管理者アカウントID 1のパスワードをリセットできることを実証しました。
管理者としてログインしてしまえば、攻撃者は悪意のあるプラグインをアップロードしたり、持続的なアクセス手段を確立したり、データを窃取したり、マルウェアを展開したりすることが可能になります。
これら2つの攻撃チェーンはいずれも、プラグインのV2単一イベント表示処理に起因しています。The Events Calendarはコメント欄を含むレンダリング済みのイベントページを取得し、生成されたHTMLをWordPressのdo_blocks()関数に渡します。
通常、WordPressがGutenbergブロックを処理するのは投稿コンテンツに対してであり、信頼されていないコメントのテキストに対してではありません。しかし、このプラグインの実装ではブロックの解析処理がイベントページに投稿されたコメントにまで拡張されてしまっています。
WordPressのコメントのサニタイズ処理はHTMLコメントの区切り文字を保持したままにするため、細工されたGutenbergブロックのマークアップが生き残り、脆弱なウィジェットレンダリング処理まで到達してしまいます。
この脆弱性の悪用には、イベント投稿でコメントが有効になっていることと、プラグインの「イベントページにコメントを表示する」設定が有効になっていることが条件となります。重要な点として、攻撃者はWordPressアカウントも、承認済みコメントも、管理者による操作も必要としません。
悪意のあるコメントを投稿した後、攻撃者はWordPressの承認待ちコメントプレビュー機能を利用できます。この機能はコメント投稿者にモデレーション用ハッシュ付きURLを提供するものです。このURLを読み込むと、モデレーターがコメントを承認する前に、細工されたブロックコンテンツが処理されてしまう可能性があります。
Chloe Chamberland氏は8月24日にこの脆弱性情報の開示を認識しました。StellarWPはオブジェクトインジェクションの問題に対する初期修正を8月25日にリリースし、両方の脆弱性チェーンに対応する完全な修正版がバージョン6.17.4.1として公開されました。
Wordfence Premium、Care、Responseの各ユーザーは、8月22日に既知の悪用試行に対するファイアウォール保護を受け取りました。無料版Wordfenceユーザー向けには、同じルールが9月21日に提供される予定です。
サイト運営者はThe Events Calendarを直ちにバージョン6.17.4.1以降にアップデートする必要があります。管理者はさらに、イベントページのコメント設定を見直し、管理者アカウントとインストール済みプラグインに不正な変更がないか確認し、ウェブサーバーのログを監視することが求められます。
16,000以上の組織から得られる最新のインテリジェンスで、脅威検出率を58%向上。TIフィードを統合する、貴社のSOCで
翻訳元: https://cyberpress.org/critical-wordpress-plugin-bugs/
