Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

熊本競輪でサイト改ざん - 原因はWPプラグイン「FancyBox」の脆弱性

熊本市が運営する熊本競輪のウェブサイトが不正アクセスを受け、改ざんされていたことがわかった。WordPressプラグインにおける既知の脆弱性が攻撃を受けたという。

同市によれば、脆弱性を狙った不正アクセスが2月19日にあり、サイトの改ざんが発生。関係ない外部サイトのデータを読み込む状態だった。

期間中に967人がアクセスしているが、すでに読み込まれる外部サイトは閉鎖されており、具体的な影響はわかっていない。被害の報告などは寄せられていないが、閲覧によってマルウェアなどへ感染している可能性もある。

今回脆弱性が突かれたのは、同サイトでコンテンツマネージメントシステム(CMS)として利用しているWordPressで活用していたプラグインの「FancyBox」。

同プラグインは、コンテンツやスクリプトが挿入される深刻な脆弱性「CVE-2015-1494」が存在。ゼロデイ攻撃による改ざん被害が2月に入って判明し、2月4日に修正版がリリースされている。

同市は、脆弱性への対応が遅れたことが原因のひとつであると説明。修正した上で、23日19時過ぎよりウェブサイトを再開している。

(Security NEXT - 2015/02/25 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

WP向けグラフ作成プラグインにSQLiなど複数脆弱性
セキュリティ関連の修正6件含む「WordPress 5.2.4」がリリース
WP向けプラグイン「Rich Reviews」に対するゼロデイ攻撃が発生中
複数脆弱性を解消した「WordPress 5.2.3」がリリース
eコマースやRSSなどWordPress向けプラグイン2種に脆弱性
「SQLインジェクション」を多数観測 - CMSのDB狙う攻撃も
WP向け動画埋め込みプラグインに脆弱性
WP向け出勤管理プラグインなどに複数脆弱性
ウェブ訪問者とのチャットや追跡機能を提供するWP向けプラグインに脆弱性
「.htaccess」ファイル改ざんに注意 - CMSが標的に