WordPressセキュリティ

ThemeForestで非常に人気の高い商用テーマ「Avada」に同梱されるページビルダープラグイン「Avada (Fusion) Builder」で見つかった、未認証のまま任意のWordPressアクションを呼び出せてしまう脆弱性についてお伝えします。セキュリティ企業Wordfenceが報告したもので、CVSSスコアは9.1（Critical相当）と高く、広く使われているテーマだけに該当環境は確認しておくことをおすすめします。

Bricks Builder向けの拡張プラグイン「Bricksforge」で見つかった、未認証のまま任意のファイルをアップロードできる脆弱性についてお伝えします。セキュリティ企業Patchstackが実際の悪用を観測しており、認証不要のままリモートコード実行（RCE）、つまりサイトの完全な乗っ取りにつながる危険度の高い内容です。該当プラグインをお使いの場合は至急ご確認ください。

フォーム作成プラグイン「Ninja Forms」とWooCommerce向け拡張プラグイン「WPC Product Bundles for WooCommerce」を狙った、管理者権限の乗っ取りにつながる蓄積型XSS（クロスサイトスクリプティング）攻撃についてお伝えします。セキュリティ企業Patchstackが実際の悪用を観測しており、両プラグインを合わせると50万件を超えるサイトが対象となるため、該当プラグインをお使いの場合はご確認ください。

WordPress本体のセキュリティリリース「7.1.3」と、Bricks Builder向け拡張プラグイン「Bricksforge」で見つかった、すでに悪用が始まっている重大な脆弱性についてお伝えします。

駆除してもサイト内の複数の場所から自動的に復元してしまう新型のWordPress用バックドア「SC」に関するセキュリティ企業Sucuriの調査レポートと、イベント管理プラグイン「Events Manager」で修正された情報漏えいの脆弱性をあわせてお伝えします。

WordPressの「メディアライブラリ」機能を起点とした新しいリモートコード実行（RCE）の攻撃チェーンについてお伝えします。あわせて、直近に報告された中程度の脆弱性も簡潔にまとめました。

「うちは小さな会社のサイトだから」「個人ブログだから狙われることはない」——そう考えている方は少なくありません。ところが実際には、規模の小さなWordPressサイトにも毎日のように攻撃が届いています。この記事では、Hikosachi が観測しているデータをもとに、その理由と実態をご紹介します。

WordPressのセキュリティプラグインは数多くありますが、それぞれ「何を守るか」が少しずつ違います。この記事では、国内外でよく使われている Wordfence と SiteGuard WP Plugin、そして私たちが提供している Hikosachi Protector を、できるだけ公平な目線で比べます。自社製品も含む比較なので、それぞれの得意・不得意を正直に書くことを心がけました。

直近で報告されたWordPress関連のセキュリティニュースをまとめてお届けします。いずれもサイト運営者・制作会社にとって影響が大きい内容ですので、該当する場合は早めのご対応をおすすめします。

本日は、SEO設定プラグインの定番として広く使われている「All in One SEO（AIOSEO）」で見つかった、未認証ユーザーによるショートコード実行の脆弱性についてお伝えします。