WordPressプラグインの同時多発改ざん、PWリスト攻撃に起因

WordPress向けの複数プラグインに不正なコードが挿入された問題で、WordPress.orgは、侵害された複数のアカウントより、プラグインの改ざんが行われたことを明らかにした。

他ウェブサイトより流出したユーザー名やパスワードを組み合わせたパスワードリスト攻撃を受け、プラグインの開発に参加するコミッターのアカウント5件が不正アクセスを受けたという。

攻撃者はこれら侵害したアカウントを通じて悪意のある更新を行い、「BLAZE Retail Widget」「Contact Form 7 Multi-Step Addon」「Simply Show Hooks」「Social Sharing Plugin – Social Warfare」「Wrapper Link Elementor」といったプラグインで改ざん被害が発生した。

同問題を受けてWordPress.orgでは、プラグイン所有者に対して注意を呼びかけた。

適切な権限設定やプラグインを更新できる開発者の定期的な監査、リリースにあたり確認を行うオプトイン機能の活用、第三者が予想できない堅牢なパスワード、2要素認証の活用などを呼びかけている。

またアカウントを複数のユーザーで共有する危険性を指摘。ひとりでも侵害を受けるとパスワードリセットが実行されてパスワードを取得され、プラグインの破壊や閉鎖などにもつながるおそれがあるとして注意を呼びかけている。

（Security NEXT - 2024/06/28 ） ツイート

PR

関連記事

米当局、「FortiWeb」の脆弱性悪用に注意喚起
「FortiWeb」に深刻な脆弱性 - すでに攻撃も
アスクル子会社の受託物流サービス、取引先情報流出の可能性
「ぶちエコサポーター」研修会の参加者宛メールで誤送信 - 山口県
誤って資料を持ち帰り紛失、住民が商業施設で拾得 - 新潟県
従業員個人PCがマルウェア感染、業務用認証情報が流出 - QUICK
番組編集ネットワークにランサム攻撃 - ケーブルテレビ可児
NECのHAクラスタソフト「CLUSTERPRO X」に深刻な脆弱性
Apple、脆弱性を修正した「iOS 18.7.2」「iPadOS 18.7.2」を公開
「Django」にSQLiやDoS脆弱性 - 修正版をリリース