「Movable Type」、10月の脆弱性対策が不十分で追加修正 - 至急アップデートを

「CVE-2021-20837」については、悪用されると意図しない「PHPファイル」を設置されたり、ファイルの削除、ウェブサーバの設定ファイル「.htaccess」を改ざんされるといった被害が想定される。10月26日に脆弱性の実証コード（PoC）も公開されており、容易に悪用できる状態が続いている。

ただし同社によると、今回不備は見つかったものの、10月20日のアップデートを適用した環境で成立する攻撃は12月16日の時点で観測されていないという。追加修正が必要となった部分を悪用する概念実証コード（PoC）やエクスプロイトコードなども確認していないとしている。

一方、利用者に対しては、すでに攻撃を受けている可能性も踏まえて対応するよう求めており、更新にあたってはサーバ上に不審なファイルが存在したり、不審なプログラムが動作していないか、ログに不審なアクセスの形跡が残っていないか確認するよう呼びかけた。

攻撃を受けた場合は、複数のバックドアが設置されている可能性もあり、不正なファイルの除去や脆弱性対策では、対応が不十分の場合もあると説明。被害発生前のバックアップよりデータを復元することを推奨している。

（Security NEXT - 2021/12/16 ）ツイート