WordPressの脆弱な追加機能狙う攻撃 - サイト間感染のおそれも

攻撃対象となった「Ultimate Member」は、10万件以上のサイトに導入されている人気プラグイン。8月10日に公開された「同2.0.23」で修正されたばかりのアップローダーに関する脆弱性が早くも狙われた。

さらに今回の攻撃では、脆弱なテーマやプラグインを利用していないサイトであっても、間接的に影響が及ぶ可能性もあり、注意が必要だ。

脆弱性を悪用して挿入されるコードには、同じサーバ内に存在する書き込み可能なファイルを検索して感染を拡大する機能を搭載。

ファイルのユーザー権限に依存するが、侵害されたサイトと同じ管理者のサイトなど、脆弱なテーマやプラグインはもちろん、「WordPress」を導入していない環境であっても、改ざんされるおそれがある。

またサイト間の感染がいったん生じると、部分的な対処では再感染を引き起こすため、駆除が難しくなるという。

（Security NEXT - 2018/08/24 ）ツイート