WordPressプラグインの同時多発改ざん、PWリスト攻撃に起因

WordPress向けの複数プラグインに不正なコードが挿入された問題で、WordPress.orgは、侵害された複数のアカウントより、プラグインの改ざんが行われたことを明らかにした。

他ウェブサイトより流出したユーザー名やパスワードを組み合わせたパスワードリスト攻撃を受け、プラグインの開発に参加するコミッターのアカウント5件が不正アクセスを受けたという。

攻撃者はこれら侵害したアカウントを通じて悪意のある更新を行い、「BLAZE Retail Widget」「Contact Form 7 Multi-Step Addon」「Simply Show Hooks」「Social Sharing Plugin – Social Warfare」「Wrapper Link Elementor」といったプラグインで改ざん被害が発生した。

同問題を受けてWordPress.orgでは、プラグイン所有者に対して注意を呼びかけた。

適切な権限設定やプラグインを更新できる開発者の定期的な監査、リリースにあたり確認を行うオプトイン機能の活用、第三者が予想できない堅牢なパスワード、2要素認証の活用などを呼びかけている。

またアカウントを複数のユーザーで共有する危険性を指摘。ひとりでも侵害を受けるとパスワードリセットが実行されてパスワードを取得され、プラグインの破壊や閉鎖などにもつながるおそれがあるとして注意を呼びかけている。

（Security NEXT - 2024/06/28 ） ツイート

PR

関連記事

行政相談のメモを一時紛失、相談員宅で見つかる - 総務省
「バンダイCH」で個人情報流出の可能性 - ランサム被害は否定
動画配信「バンダイCH」が一時停止 - 「意図せぬ退会」発生
「FortiOS」に3件の脆弱性 - アップデートで修正
米当局、「Chromium」ゼロデイ脆弱性に注意喚起 - 派生ブラウザも警戒を
「Monsta FTP」に深刻な脆弱性 - 8月のアップデートで修正済み
米当局、「FortiWeb」の脆弱性悪用に注意喚起
「FortiWeb」に悪用済み脆弱性が判明 - 今月2件目
「MS Edge」にアップデート - ゼロデイ脆弱性を解消
メール誤送信で美術研究所研究生のメアド流出 - 大阪市立美術館