WordPress、深刻な脆弱性を修正 XSS攻撃の恐れ

WordPress 4.0.1ではXSSの脆弱性などが修正された。悪用された場合、Webサイトをハッキングされたり、クロスサイトリクエストフォージェリ（CSRF）攻撃を仕掛けられたりする恐れがある。

[鈴木聖子，ITmedia]

　ブログ作成ソフトの更新版となる「WordPress 4.0.1」が11月20日に公開された。クロスサイトスクリプティング（XSS）などの深刻な脆弱性が修正されており、ユーザーに対して自分のWebサイトを直ちに更新するよう呼び掛けている。

　WordPressのブログによると、WordPress 4.0.1では3件のXSSの脆弱性を含め、計8件の脆弱性を修正した。悪用された場合、Webサイトをハッキングされたり、クロスサイトリクエストフォージェリ（CSRF）攻撃を仕掛けられたりする恐れがある。脆弱性は3.9.2までのバージョンに存在する。

　更新版は、自動更新を有効にしていれば自動的に配信される。脆弱性のほか、4.0に存在していた23件のバグも修正された。

　セキュリティ機関のSANS Internet Storm Centerは、今回WordPressで修正されたようなXSSの危険性について、「WebサイトのHTMLを改ざんされる恐れがあり、ログイン用フォームなどのフォームタグも簡単に改ざんできてしまう」と解説する。「攻撃者はユーザーが入力した内容を入手し、変更することができてしまう。つまり、攻撃者に完全にコントロールを握られることになる」と述べ、XSSの脆弱性はもっと注目されるべきだと指摘している。