Post SMTPプラグインの脆弱性により20万件以上のWordPressサイトが乗っ取り攻撃の危険に

20万件以上のWordPressウェブサイトが、ハッカーによる管理者アカウントの乗っ取りを許す脆弱なバージョンのPost SMTPプラグインを使用しています。

Post SMTPは、WordPress向けの人気のメール配信プラグインで、40万件以上のアクティブインストール数を誇ります。これは、より信頼性が高く多機能な、デフォルトの『wp_mail()』関数の代替として提供されています。

5月23日、セキュリティ研究者がこの脆弱性をWordPressのセキュリティ企業PatchStackに報告しました。この脆弱性は現在、CVE-2025-24000として特定されており、中程度の深刻度スコア8.8を受けています。

このセキュリティ問題は、Post SMTPのバージョン3.2.0までのすべてのバージョンに影響し、プラグインのREST APIエンドポイントにおけるアクセス制御機構の不備が原因です。この機構は、ユーザーがログインしているかどうかのみを確認し、権限レベルをチェックしていませんでした。

これは、購読者（Subscriber）などの低権限ユーザーでも、メールの全文を含むメールログにアクセスできることを意味します。

脆弱なサイトでは、購読者が管理者アカウントのパスワードリセットを開始し、ログ経由でリセットメールを傍受してアカウントを乗っ取ることが可能です。

プラグインの開発者であるSaad Iqbal氏はこの脆弱性について通知を受け、5月26日にPatchstackがレビューできる修正を提供しました。

解決策は、『get_logs_permission』関数に追加の権限チェックを組み込み、機密性の高いAPIコールにアクセスする前にユーザーの権限を検証することでした。

この修正は、6月11日に公開されたPost SMTPバージョン3.3.0に組み込まれました。

WordPress.orgのダウンロード統計によると、プラグイン利用者の半数未満（48.5％）しかバージョン3.3にアップデートしていません。つまり、20万件以上のウェブサイトがCVE-2025-24000の脆弱性にさらされています。

注目すべきは、24.2％（96,800サイト）が依然として2.x系のPost SMTPバージョンを使用しており、これらは追加のセキュリティ脆弱性にもさらされているため、攻撃のリスクが残っています。