無料相談
2024年11月14日更新: WordPress 6.7で貧弱性が修正されました。
WordPressは、世界中で非常に人気の高いコンテンツ管理システム（CMS）ですが、その人気の反面、常にセキュリティ面での注意が求められています。この記事では、WordPressの最新バージョンである6.6.2に発見された脆弱性について詳しく説明します。
発見された脆弱性の詳細
この脆弱性は、サーバーサイドリクエストフォージェリ（SSRF）と呼ばれるもので、CVSSスコアは4.0です。SSRFとは、攻撃者がアプリケーションを通じて意図しないリクエストを外部に発信させることを可能にする脆弱性です。今回のケースでは、未認証の状態でもこの脆弱性が利用可能とされています。しかし、この問題が悪用される可能性は低いと考えられています。
脆弱性の影響
影響としては、内部ネットワークへのアクセスを試みたり、外部の悪意のあるサーバーとの通信を担うことがありますが、今回の脆弱性は低リスクと評価されています。多くの場合、この種の脆弱性が悪用されるには、攻撃者が詳細なシステム情報を知っている必要があります。それ故に、広範囲にわたる影響は考えにくいとされています。
現状の対応と今後の方針
現在（2024年10月21日）このSSRF脆弱性に対する公式なアップデートは提供されていません。したがって、ユーザーや管理者は、セキュリティのベストプラクティスに従い、セキュリティプラグインやWebアプリケーションファイアウォール（WAF）を使用して、潜在的な攻撃から保護することを心掛ける必要があります。さらに、日常的なサイトの監視とアクセスログの確認を行うことで、異常な動作を早期に検知することが助けになります。
結論
WordPress 6.6.2におけるSSRF脆弱性は、現在のところ重大なリスクを引き起こす可能性は低いとされており、直ちにパニックになる必要はありません。しかし、常に最新の情報を追跡し、日常的なセキュリティの管理を怠らないことが、最も重要です。適切な対応策を講じた上で、安心してWordPressの運用を続けてください。
出所:
(*) WordPressのSSRF脆弱性情報提供サイト https://patchstack.com/database/vulnerability/wordpress/wordpress-6-1-1-unauth-blind-ssrf-vulnerability?_a_id=110 
