- WordPressプラグインの脆弱性により、権限の低いユーザーが機密サーバーファイルや認証情報にアクセス可能に
- CVE-2025-11705はバージョン4.23.81以前のプラグインに影響、パッチは10月15日にリリース
- 約5万サイトが依然として脆弱、管理者は直ちにアップデートするよう推奨
10万以上のアクティブインストール数を誇る人気のWordPressプラグインに、攻撃者がサーバー上の任意のファイルを読み取れるバグが存在していました。これにはユーザーのメールや、場合によってはパスワードも含まれます。
Wordfenceのセキュリティ研究者が、WordPress向けのAnti-Malware Security and Brute-Force Firewallプラグインに脆弱性があることを報告しました。名前が示す通り、このプラグインはサイト所有者がマルウェアをスキャンし、ブルートフォース攻撃からサイトを守り、既知の脆弱性から防御するなどの機能を提供します。
しかし、このプラグインの一部機能には権限チェックが欠如しており、権限の低いユーザーでもサーバー上の任意のファイルを読み取ることができました。これには、さまざまな認証情報を保存しているwp-config.phpなどの機密ファイルも含まれます。
パッチが利用可能
理論上、悪意のある攻撃者はこの方法でユーザーのメールアドレスや、ハッシュ化または平文のパスワード（保存内容による）、その他の個人データを取得できてしまいます。
このバグは現在CVE-2025-11705として追跡されており、深刻度スコアは6.8/10（中程度）です。これは攻撃者が悪用するには認証が必要なため比較的低いスコアですが、メンバーシップやサブスクリプション機能を持つサイトでAnti-Malware Security and Brute-Force Firewallプラグインを使用している場合は脆弱と見なされます。
プラグインのバージョン4.23.81以前が影響を受けるとされています。
研究者は10月14日にベンダーへ調査結果を報告し、翌日の10月15日にパッチが提供されました。バージョン2.23.83では新たな関数による適切なユーザー権限チェックが追加され、このバグが修正されています。パッチ公開以降、ユーザーの約半数（約5万件）がインストールしましたが、依然として約5万のウェブサイトが脆弱なままです。
記事執筆時点では、実際の悪用は報告されていませんが、この種の脆弱性はパッチ公開から数か月後に悪用されることが多いです。そのため、ウェブサイト管理者はできるだけ早く修正を適用することが推奨されています。
