WordPress、WooCommerceの重大プラグイン脆弱性を突かれPHPウェブシェル攻撃キャンペーンの標的に

攻撃者がサードパーティ製WooCommerceプラグインの重大な脆弱性を悪用し、WordPressサイトにPHPウェブシェルをアップロードする攻撃を仕掛けていることが分かりました。修正パッチのリリースから4カ月が経過しています。

Wordfenceは9月14日に公開した技術解説記事の中で、自社のファイアウォールがRymera Web Co製のプレミアムプラグイン「WooCommerce Wholesale Lead Capture」に存在するCVE-2026-27540を悪用する試みを10万件以上ブロックしたと報告しました。同プラグインの有効インストール数は推定6000件です。この脆弱性は2月20日にバージョン2.0.3.2で修正が公開されると同時に開示されました。

Wordfenceはこの脆弱性をCVSS 9.8と評価しています。一方、Patchstackが発行したCVEレコードでは9.0のスコアが付けられており、これは攻撃の複雑さの評価が異なることに一部起因しています。Wordfenceのデータによれば、攻撃は認証不要の単一リクエストで成立します。

攻撃者が制御できるアローリスト

このプラグインは、卸売会員登録フォームからのアップロードを処理するAJAXアクション「wwlc_file_upload_handler」を公開しており、未認証の訪問者からもアクセス可能な状態になっています。

このハンドラーは、ファイルの拡張子を許可されたタイプのリストと照合してチェックします。しかしWordfenceの調査によると、このリストはフォームのサーバー側設定からではなく、リクエストから直接読み込まれていることが判明しました。つまり、未認証の攻撃者は自分で用意したリストにphpを含めることで実行可能なファイルをアップロードでき、任意ファイルアップロードの脆弱性をリモートコード実行に転化できてしまいます。

さらに悪いことに、このコードはタイプチェックを無効にした状態でWordPressのアップロード関数を呼び出しており、拡張子チェックだけが唯一の防壁となっている状態でした。

Wordfenceによると、攻撃者は偽装した設定パラメータとPHPファイル（多くの場合「shell.php」という名前）を含む細工されたリクエストを送信していました。設置されたウェブシェルはホストの詳細情報を報告するほか、サイトにさらなるファイルを書き込むためのブラウザベースのアップロードフォームを提供します。

攻撃の試みは6月4日から6月17日にかけて最も活発になり、7月1日と8月30日にもさらなる活動が確認されました。2.0.3.1までの全バージョンが影響を受けます。この脆弱性は研究者のTeemu Saarentaus氏が報告しました。

WordPressプラグインの脆弱性に関する関連記事: 4万件以上のWordPressサイトが認証バイパスの脅威にさらされる

サイト運営者が取るべき対応

2.0.3.2以降へのアップデートが必要です。ファイアウォールのルールは既知の攻撃試行をブロックしますが、プラグイン自体の脆弱性を修正するものではなく、2.0.3.1までの全バージョンは根本的に脆弱なままです。

Wordfenceは、アップロードディレクトリに予期しないPHPファイルや最近作成されたPHPファイルがないか確認すること、そしてWebサーバーのアクセスログで脆弱なアクションを含むadmin-ajax.phpへのリクエストがないか確認することを推奨しています。

該当する痕跡が見つかった場合は、不審なファイルや身に覚えのない管理者アカウントを削除し、サイト内にバックドアがないか確認する必要があります。

Wordfenceは、該当するログエントリが見当たらないからといって、サイトが安全であることの証明にはならないと付け加えています。