メディア

WordPressプラグインにCVSSv3スコア9.9の脆弱性　500万のWebサイトに影響か

WordPressで広く利用されるプラグイン「Elementor Website Builder」にCVSSv3スコア9.9の脆弱性が見つかった。リモートコード実行が可能になる脆弱性で、500万を超えるWebサイトが影響を受けると見られており注意が必要だ。

» 2022年04月15日 07時00分公開

[後藤大地，有限会社オングス]

この記事は会員限定です。会員登録すると全てご覧いただけます。

　セキュリティ企業DefiantのWordfence脅威インテリジェンスチームは2022年4月13日（現地時間）、CMS（Contents Management System）「WordPress」の無料プラグイン「Elementor Website Builder」にリモートコード実行の脆弱（ぜいじゃく）性（CVE-2022-1329）が存在すると伝えた。

　Elementor Website BuilderはWordPressを利用したWebサイトをノーコードで構築できるページビルダープラグインだ。Wordfence脅威インテリジェンスチームによれば、全世界で500万を超えるWebサイトで利用されているという。同プラグインを使用している場合には、脆弱性を修正したバージョンにアップデートすることが推奨されている。

Wordfence脅威インテリジェンスチームはElementor Website Builderにおけるリモートコード実行の脆弱性を報じた（出典：DefiantのWebサイト）

CVSSv3スコアは9.9　迅速な対処を

#CmsMembersControl .CmsMembersControlIn {width:100%;background:url(https://image.itmedia.co.jp/images/spacer.gif) #DDD;opacity:0.05;filter:progid:DXImageTransform.Microsoft.Alpha(Enabled=1,Style=0,Opacity=5);z-index:1;}

続きを閲覧するには、ブラウザの JavaScript の設定を有効にする必要があります。

2022年4月の累積更新プログラムが配信　複数のMicrosoftプロダクトが対象
Microsoftは2022年4月の累積更新プログラムを配信した。今回のアップデートには深刻度「緊急」に分類される脆弱性の修正が含まれている他、既に悪用が確認されているゼロデイ脆弱性も含まれている。
nginxのLDAPリファレンス実装にゼロデイの脆弱性　迅速な緩和策の適用を
Webサーバ「nginx」にゼロデイ脆弱性が見つかった。緩和策が公開されたことから、該当ソフトウェアを使用している場合には確認および緩和策の適用を急いでほしい。
毎月のアップデート作業から脱却　MicrosoftがWindowsアップデート自動化機能「Windows Autopatch」を配信
Microsoftは、WindowsやOfficeを最新の状態に保つための新機能「Windows Autopatch」を発表した。月に1回の累積更新プログラム配信よりも短い周期で最新のプログラムを配信できる機能とされている。
Sucuri研究者がWordPressに改善要望　サイバー攻撃を招く4つのデフォルト設定とは？
WordPressにおける幾つかのデフォルト設定がサイバー攻撃を招いているとSucuriは指摘する。中でも絶対にそのままにしてはいけない設定が4つあるという。