WordPressプラグインの同時多発改ざん、PWリスト攻撃に起因

WordPress向けの複数プラグインに不正なコードが挿入された問題で、WordPress.orgは、侵害された複数のアカウントより、プラグインの改ざんが行われたことを明らかにした。

他ウェブサイトより流出したユーザー名やパスワードを組み合わせたパスワードリスト攻撃を受け、プラグインの開発に参加するコミッターのアカウント5件が不正アクセスを受けたという。

攻撃者はこれら侵害したアカウントを通じて悪意のある更新を行い、「BLAZE Retail Widget」「Contact Form 7 Multi-Step Addon」「Simply Show Hooks」「Social Sharing Plugin – Social Warfare」「Wrapper Link Elementor」といったプラグインで改ざん被害が発生した。

同問題を受けてWordPress.orgでは、プラグイン所有者に対して注意を呼びかけた。

適切な権限設定やプラグインを更新できる開発者の定期的な監査、リリースにあたり確認を行うオプトイン機能の活用、第三者が予想できない堅牢なパスワード、2要素認証の活用などを呼びかけている。

またアカウントを複数のユーザーで共有する危険性を指摘。ひとりでも侵害を受けるとパスワードリセットが実行されてパスワードを取得され、プラグインの破壊や閉鎖などにもつながるおそれがあるとして注意を呼びかけている。

（Security NEXT - 2024/06/28 ） ツイート

PR

関連記事

「Roundcube」に複数の脆弱性 - 更新を強く推奨
NASでも利用されるメディアサーバを狙った脆弱性攻撃に注意
「Chrome」にセキュリティアップデート - ゼロデイ脆弱性に対応
中学校で生徒の個人情報含む学習記録ファイルを紛失 - 伊万里市
「ネットマイル」で会員情報流出の可能性 - 影響など調査
JNSAのセキュ理解度チェックサービスで侵害 - 影響など調査
不正アクセスで個人情報流出、通話音声にクレカ情報も - ロート製薬
特定環境の「OpenSSH」に認証回避のおそれ - 「Alpine Linux」など影響
データ連携基盤「Airbyte」に脆弱性 - 悪用も確認
ID管理基盤「OpenAM」に複数の「クリティカル」脆弱性