日本が海の日三連休に入ったばかりの深夜、WordPress7.0.2がリリースされた。これはセキュリティパッチであり、該当する脆弱性はREST APIの権限昇格バグを利用して任意のリモートコード実行をできてしまうという結構深刻なもの。まだアップデートしていない人は緊急でアップデートしておこう。
脆弱性の詳細についてはGMO Flatt Security Blogに詳しい。X Serverも早々に注意喚起をしており、自体の深刻さが窺われる。本脆弱性（CVE-2026-63030）は通称wp2shellと呼ばれるらしいのだが、他の脆弱性と組み合わせることで、REST API上で権限が昇格してしまい、ログインしていないユーザーでも外部から攻撃が可能だ。10年ぶりぐらいのメガトン級コア脆弱性である。
今回の件に限らず重要なのは、WordPressを自動アップデートにしておくことだ。自動アップデートはマイナーチェンジであることが多く、ロールバック機能も存在するので、安心してオンにできる。メジャーアップデートはわざわざオプトインしないと自動更新にならないので、心配する必要はない。セキュリティパッチは過去のメジャーバージョンに遡ってバックポートされるので、よほど古いバージョンを使っていない限りは同じパッチが適用されることも知っておこう。今回のケースでいうと、6.8, 6.9もマイナーアップデートの対象になっている。
より安全にするなら、WAFの導入も検討すべきだ。CloudFlareなどの著名なCDNは悪意のある攻撃をブロックするWAFを脆弱性の公開より先に設定していることが多い。こうした企業にはソフトウェエア開発者とセキュリティで連携する仕組みがあるので、我々一般人より先に詳細を知っているのである。なお、Roots.io(Bedrock)のような「Composer + Gitでバージョンを厳密管理」というワークフローは基本的に「状態の厳密性」を優先して自動更新を除外しているので、三連休を棒に振ってしまわないようWAFなどの別の安全弁を用意しておく必要がある。
脆弱性が公開されると慌ててしまうが、自動更新オンを原則にしておこう。
コメントを残す