世界中の多くのWebサイトで使われている「WordPress」のプラグイン(機能追加ソフト)「Bricksforge」に、深刻度が最大の10.0とされるセキュリティホールが見つかり、すでに実際の攻撃に悪用されていると、海外メディアのThe Hacker Newsが報じています。WordPressの脆弱性情報を扱うセキュリティ企業Patchstackの調査によるものです。
何が起きたのか
問題の欠陥は「CVE-2026-85097」(CVEは世界共通の脆弱性管理番号)で、深刻度を示すCVSSスコアは満点の10.0です。報道によれば、ログインしていない外部の攻撃者が、対象のWordPressサイトに「PHPコード」(サイトを動かすためのプログラム)をアップロードして実行できてしまうとされています。これは「RCE(遠隔コード実行)」と呼ばれる、サイトを事実上乗っ取れる状態につながる最も危険なタイプの欠陥です。
なぜ危険なのか
「認証なし」というのは、IDやパスワードを知らなくても攻撃できるという意味です。しかも、すでに悪用が確認されているため、「まだ誰も狙っていないはず」という安心は通用しません。サイトが乗っ取られると、ページの改ざん、利用者への不正なウイルス配布、顧客情報の流出、他のサイトへの攻撃の踏み台にされる、といった被害が起こりえます。なお、影響を受けるバージョンや修正版の番号などの詳細は、現時点で私たちが確認できた範囲では十分に明らかになっていません。
私たちが取るべき対策
WordPressサイトの運営者は、まず自分のサイトにBricksforgeプラグインが入っていないか、管理画面の「プラグイン」一覧で確認してください。入っている場合は、開発元が修正版を公開していないかを確認し、あれば直ちに更新します。修正版が確認できない間は、プラグインを一時的に無効化または削除することも有効な自衛策です。あわせて、見覚えのないファイルや管理者アカウントが増えていないか、サーバーの記録(ログ)に不審な動きがないかも点検しましょう。サイトのバックアップを日頃から取っておくことも大切です。
出典: The Hacker News「Attackers Exploit CVSS 10.0 Bricksforge WordPress Flaw Enabling Unauthenticated RCE」