WordPress 2018年6月_脆弱性レポート 2018/7/13
2018年6月度のWordPressに関する脆弱性レポートをお知らせします。
6月度全体の脆弱性報告件数としては14件でした。2018年5月度から2件増加しております。
個所別レポート
個所別の発生件数は、それぞれ本体が1件、テーマが0件、プラグインが13件でした。
本体に関しまして、今月は脆弱性が発生しております。
2018年4月ぶりの発生になります。
テーマに関しましては脆弱性が発生しませんでした。
また、先月に引き続き最多発生はプラグインとなり、脆弱性に気を配る必要があることがわかります。
トピックス
前述のとおり本体に関しましては、脆弱性が1件発生しております。
ブログにて速報しております通り、バージョン4.9.6以下において、特定の権限を持つユーザーによって、本来削除できないファイルの操作が可能となります。
具体的には、設定ファイルである「wp-config.php」を削除して初期化することなどが可能であり、サーバー上で任意のコードが実行されるおそれもあります。
すでに対策バージョン4.9.7がリリースされており、WordPress 3.7以降のすべてのバージョンのセキュリティおよびバグを修正しました。
バグに関しましては、計17種類のバグが修正がされました。
（参照リンク：WordPress 4.9.7 Security and Maintenance Release）
対策版に関しましては下表のとおりです。
| 現在ご利用のバージョン | 対策済みバージョン |
| 3.7~3.7.26 | 3.7.27 |
| 3.8~3.8.26 | 3.8.27 |
| 3.9~3.9.24 | 3.9.25 |
| 4.0~4.0.23 | 4.0.24 |
| 4.1~4.1.23 | 4.1.24 |
| 4.2~4.2.20 | 4.2.21 |
| 4.3~4.3.16 | 4.3.17 |
| 4.4~4.4.15 | 4.4.16 |
| 4.5~4.5.14 | 4.5.15 |
| 4.6~4.6.11 | 4.6.12 |
| 4.7~4.7.10 | 4.7.11 |
| 4.8~4.8.6 | 4.8.7 |
| 4.9~4.9.6 | 4.9.7 |
（※バージョン3.7未満に関しましては、最新バージョンの4.9.7にアップデートすることを推進します。）
テーマに関しましては前述のとおり、脆弱性が発生しませんでした。
プラグインに関しましては先月から2件増加し、13件の脆弱性が発見されました。そのうち有名プラグインに脆弱性が発見されました。
1つ目は、アクティブインストール100万以上、総ダウンロード数1004万以上の人気プラグイン『Redirection』にLFIの脆弱性が発生しております。
このプラグインは、別のURLへリダイレクトさせる設定ができるプラグインです。
お使いの方は、バージョンの確認をすることを推奨します。
脆弱性はすでにアップデートによって修正済みで、バージョン2.8以上への更新によって塞ぐことができます。
（※2018年7月13日現在の最新版はバージョン3.3.1ですのでこちらの最新版への更新をお勧めします。）
2つ目は、アクティブインストール90万以上、総ダウンロード数1437万以上の人気プラグイン『iThemes Security』にSQLインジェクションの脆弱性が発生しております。
このプラグインは、高度なセキュリティ対策とDBバックアップができるプラグインです。
お使いの方は、バージョンの確認をすることを推奨します。
脆弱性はすでにアップデートによって修正済みで、バージョン7.0.3以上への更新によって塞ぐことができます。
（※2018年7月13日現在の最新版はバージョン7.0.4ですのでこちらの最新版への更新をお勧めします。）
3つ目は、アクティブインストール10万以上、総ダウンロード数160万以上の人気プラグイン『Email Subscribers & Newsletters』にクロスサイトスクリプティング（XSS）の脆弱性が発生しております。
このプラグインは、登録者へニュースレターを送信することができるプラグインです。
お使いの方は、バージョンの確認をすることを推奨します。
脆弱性はすでにアップデートによって修正済みで、バージョン3.5.0以上への更新によって塞ぐことができます。
（※2018年7月13日現在の最新版はバージョン3.5.3ですのでこちらの最新版への更新をお勧めします。）
その他ご利用中の方が多い以下の人気プラグインにおいて脆弱性が発見されたため、旧バージョンをご利用中の方は最新のプラグインにアップデートされることをお勧めいたします。
- Open Graph for Facebook, Google+ and Twitter Card Tagsにてクロスサイトスクリプティング（XSS）
- Ultimate Form Builder Liteにてクロスサイトスクリプティング（XSS）とSQLインジェクション
- Advanced Order Export For WooCommerceにてCSVインジェクション
- wpForo Forumにてクロスサイトスクリプティング（XSS）
内容別レポート
脆弱性の内容別発生件数は、1位がXSSで6件、2位がSQLインジェクションとその他で3件でした。
トピックス
5月度と比較して、脆弱性全体の数が増加しております。
クロスサイトスクリプティング（XSS）の発生件数は、先月と同じく発生件数は1位となりました。
脆弱性一覧
2018年6月の脆弱性一覧をまとめましたのでご参照ください。
以下リストに掲載されている本体バージョン、テーマ、プラグインがある方は、一度診断されることをお勧めいたします。
脆弱性分類ですが、掲載時点の内容の為、ご確認いただく時点で内容不明の分類が変更されている可能性もございますので、それもKYUBIにて最新の状態をご確認いただくことをお勧めします。
また、ご確認のタイミングによっては新たな脆弱性が発見されている可能性もございますので、こちらもKYUBIにて一度ご診断していただくことをお勧めします。
また、バージョンに関しましては、脆弱性情報が発見されたものを記載しておりますが、そのバージョン未満でも同様の脆弱性が発生している可能性がある為、最新版に更新することをお勧めしております。
但し、最新版でも脆弱性内容が修正されていないプラグインも少なからず存在しておりますので、対策されていないプラグインをご利用の方は、ご利用を控えるか、別の同様のプラグインに変更されることをお勧めします。
表：2018年6月度脆弱性一覧
| 発見個所 | 脆弱性分類 | 脆弱性のある本体・プラグイン・テーマの名称 | 発見されたVer. |
| 本体 | UNKNOWN | WordPress本体 | 4.9.6 |
| プラグイン | CSV Injection | WordPress Comments Import & Export | 2.0.4 |
| プラグイン | XSS | Site Reviews | 2.15.2 |
| プラグイン | XSS | wpForo Forum | 1.4.11 |
| プラグイン | XSS | Ultimate Form Builder Lite | 1.3.7 |
| プラグイン | SQLI | Ultimate Form Builder Lite | 1.3.7 |
| プラグイン | CSV Injection | Advanced Order Export For WooCommerce | 1.5.4 |
| プラグイン | XSS | Tooltipy (tooltips for WP) | 5.0 |
| プラグイン | CSRF | Tooltipy (tooltips for WP) | 5.0 |
| プラグイン | XSS | Open Graph for Facebook, Google+ and Twitter Card Tags | 2.2.4 |
| プラグイン | XSS | Email Subscribers & Newsletters | 3.4.12 |
| プラグイン | LFI | Redirection | 2.7.3 |
| プラグイン | SQLI | Pie Register | 3.0.9 |
| プラグイン | SQLI | iThemes Security | 7.0.2 |