会員サイト構築用WPプラグインにゼロデイ攻撃 - 侵害状況の確認を

DEFIANTは、6月29日のアドバイザリを通じて同プラグインを使用している場合は、意図しない管理者アカウントの作成、プラグインやテーマのインストールなど、ウェブサイトが侵害されていないか確認するよう呼びかけた。

開発者は現地時間6月26日に報告を受け、「同2.6.4」をリリースするも対策が不十分であり、対応を進めてきたと説明。開発者は、7月1日にリリースした「同2.6.7」にて同脆弱性を解消したとしている。

利用者へアップデートを求めるとともに、身に覚えのない管理者アカウントがないか確認して必要に応じてチェックしたり、セキュリティ機能を提供するプラグインの利用などを呼びかけた。

また脆弱性を悪用してログイン入力を盗聴するマルウェアなどが設置されている可能性もあるとし、全ユーザーのパスワードをリセットし、サイトの会員へ事態を説明するよう求めた。同プラグイン内においてもパスワードのリセット機能の用意を進めているという。

（Security NEXT - 2023/07/03 ）ツイート