Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

熊本競輪でサイト改ざん - 原因はWPプラグイン「FancyBox」の脆弱性

熊本市が運営する熊本競輪のウェブサイトが不正アクセスを受け、改ざんされていたことがわかった。WordPressプラグインにおける既知の脆弱性が攻撃を受けたという。

同市によれば、脆弱性を狙った不正アクセスが2月19日にあり、サイトの改ざんが発生。関係ない外部サイトのデータを読み込む状態だった。

期間中に967人がアクセスしているが、すでに読み込まれる外部サイトは閉鎖されており、具体的な影響はわかっていない。被害の報告などは寄せられていないが、閲覧によってマルウェアなどへ感染している可能性もある。

今回脆弱性が突かれたのは、同サイトでコンテンツマネージメントシステム(CMS)として利用しているWordPressで活用していたプラグインの「FancyBox」。

同プラグインは、コンテンツやスクリプトが挿入される深刻な脆弱性「CVE-2015-1494」が存在。ゼロデイ攻撃による改ざん被害が2月に入って判明し、2月4日に修正版がリリースされている。

同市は、脆弱性への対応が遅れたことが原因のひとつであると説明。修正した上で、23日19時過ぎよりウェブサイトを再開している。

(Security NEXT - 2015/02/25 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

1週間に2400件超のサイト改ざん - 詐欺サイト誘導の踏み台に
WordPress用レビュープラグインにXSSの脆弱性
「WordPress」向けニュースレタープラグインに脆弱性
GDPR対応で「WordPress」がアップデート - プライバシー保護機能を強化
WordPress向けメンバー管理プラグインに複数の脆弱性
WordPress向けOGP設定用プラグインに脆弱性
WordPress向けGoogle Map表示用プラグインにXSSの脆弱性
「Drupal」脆弱性で感染を拡大するボット「Muhstik」見つかる
「WordPress 4.9.5」がリリース、セキュリティ関連など28件のバグを修正
WordPress向けデータインポート用プラグインに2件の脆弱性