【緊急】WordPressの「wp2shell」は本当にヤバイ。今日中に確認・更新してください

WordPressで自社サイトを運営している方。
お客様のWordPressサイトを制作・管理している方。

今回の脆弱性は、かなり危険です。

「セキュリティの話は難しいから、制作会社に任せている」
「自動更新になっているはずだから大丈夫」
「プラグインをあまり入れていないから問題ない」

残念ながら、今回はその考え方では危険です。

WordPress本体に、ログインしていない第三者からサイトを乗っ取られる可能性がある、非常に深刻な脆弱性が見つかりました。

通称は「wp2shell」。

専門的な仕組みを細かく理解する必要はありません。
まず覚えておいてほしいのは、次の一点です。

wp2shellは、何がそんなに危険なのか

WordPressの脆弱性というと、多くの方は「古いプラグインの問題」を思い浮かべるのではないでしょうか。

しかし、今回は違います。

問題が見つかったのは、プラグインやテーマではなく、WordPress本体の機能です。

しかも、攻撃する側は、

• 管理画面のIDを知らなくてもよい
• パスワードを知らなくてもよい
• 管理画面へログインする必要もない
• 特別なプラグインが入っている必要もない

という条件で、外部から攻撃できる可能性があります。

つまり、普通にインストールして使っているWordPressも対象になり得るということです。

これは、かなりヤバイやつです。

サイトが乗っ取られると、何が起きるのか

「サイトを乗っ取られる」と言われても、具体的な被害をイメージしにくいかもしれません。

想定されるのは、例えば次のような被害です。

• サイトの内容を勝手に書き換えられる
• 不審な広告や海外サイトへのリンクを埋め込まれる
• 偽の管理者アカウントを作られる
• サーバー内の情報を盗み見られる
• 別の攻撃を行うためのプログラムを設置される
• 迷惑メールや攻撃の踏み台として利用される

会社案内だけを掲載している小さなサイトだから大丈夫、ということでもありません。

攻撃者が一つひとつの会社を調べ、狙いを定めて攻撃するとは限らないからです。

脆弱なWordPressサイトを機械的に探し、自動的に攻撃することもできます。

会社の規模や、サイトのアクセス数は関係ありません。

対象となるWordPressのバージョン

wp2shellによるサイト乗っ取りの可能性がある対象バージョンは、次のとおりです。

WordPress公式は、今回の問題を「Critical」と「High」に分類し、対象サイトに対して直ちに更新するよう案内しています。

深刻度が高いことから、自動更新システムを使った強制更新も有効にされています。

ただし、自動更新を設定しているからといって、実際に更新が完了しているとは限りません。

サーバーの設定、ファイルの権限、過去のカスタマイズなどによって、自動更新に失敗していることもあります。

必ず実際のバージョンを確認してください。

Web担当者が今すぐ行うこと

専門のIT担当者がいない会社では、Webサイトの管理を総務、広報、営業などの方が兼任していることも多いと思います。

その場合は、次の順番で確認してください。

1．WordPressの管理画面を開く

通常は、サイトのURLの後ろに「/wp-admin/」を付けると管理画面を開けます。

https://あなたのサイトのURL/wp-admin/

2．WordPressのバージョンを確認する

管理画面の「ダッシュボード」から「更新」を開きます。

現在のバージョンと、利用可能な更新が表示されます。

3．対象バージョンなら更新する

7.0系なら7.0.2以上、6.9系なら6.9.5以上へ更新してください。

6.8系を利用している場合も、関連する脆弱性への対応として6.8.6以上へ更新してください。

「更新するとサイトが壊れるかもしれないから、少し様子を見たい」という気持ちは分かります。

実際、普段のWordPress更新では、バックアップや動作確認を行った上で慎重に進めるのが基本です。

ただし今回は、更新による不具合の可能性と、更新せずに侵入される危険性を比べて判断しなければなりません。

今回については、後者の危険性が非常に高いと考えてください。

4．自分で判断できなければ、すぐに連絡する

自分で更新してよいか分からない場合は、無理に操作する必要はありません。

ただし、そのまま放置もしないでください。

制作会社や保守会社へ、次のように連絡してください。

更新しただけで終わりにしてよいのか

脆弱なバージョンで公開していた期間がある場合、更新だけで終わりにせず、すでに不正な操作を受けていないかも確認した方がよいでしょう。

非エンジニアの方でも、管理画面から次の点は確認できます。

• ユーザー一覧に、知らない管理者が追加されていないか
• プラグイン一覧に、入れた覚えのないものがないか
• サイトに見覚えのない文章やリンクが表示されていないか
• 管理者のメールアドレスなどが変更されていないか
• 検索結果に不審なページが表示されていないか

ただし、これらに問題がないからといって、侵入されていないと断定できるわけではありません。

攻撃者が目立たない形で裏口を設置することもあるため、正確に調べるにはサーバーのアクセスログやファイルの変更状況などを確認する必要があります。

不審な点がある場合は、管理画面上で慌てて削除を繰り返すのではなく、まず証拠となるログやファイルを保全し、専門家へ相談してください。

制作会社・Web運用会社は、管理サイトを一斉確認してください

お客様のWordPressサイトを制作・管理している会社は、さらに注意が必要です。

今回は、一つのサイトだけを確認して終わりではありません。

過去に制作したものを含めて、管理対象となっているWordPressサイトを洗い出す必要があります。

1. 管理している全サイトのバージョンを確認する
2. 6.9.0〜6.9.4、7.0.0〜7.0.1を最優先で更新する
3. 6.8系も6.8.6以上へ更新する
4. 自動更新が実際に完了しているか確認する
5. 対象期間のアクセスログや変更ファイルを確認する
6. 対応状況をお客様へ連絡する

特に注意したいのが、「作って納品した後は、ほとんど触っていないサイト」です。

更新されていない。
誰が管理しているのか曖昧。
保守契約もない。
お客様も自社では確認できない。

こうしたサイトほど、対応が抜け落ちます。

「保守契約の対象外だから、何もしない」ではなく、少なくとも今回の情報をお客様へ知らせ、誰が確認するのかを明確にしてください。

そこを曖昧にしたままにすると、問題が起きたときに、技術的な被害だけでなく、制作会社とお客様との信頼関係にも影響します。

WAFで遮断されていれば大丈夫なのか

レンタルサーバー会社やWAFサービスによっては、攻撃経路となるWordPressのREST APIバッチ機能へのアクセスを遮断しています。

これは有効な暫定対策です。

ただし、あくまで攻撃経路を一時的に塞ぐ対策であり、WordPress本体の脆弱性が修正されるわけではありません。

サーバー会社が対策しているから更新しなくてもよい、ということではありません。

「誰が管理しているか分からない」ことも、今回の問題です

今回のような緊急対応が必要になったとき、よく起きるのが次の状態です。

• 制作した会社と保守している会社が違う
• 担当者が退職している
• 管理画面の情報が分からない
• サーバーの契約者が誰か分からない
• 自動更新されていると思っていたが、誰も確認していない
• 保守契約の範囲が曖昧になっている

脆弱性そのものはWordPressの問題ですが、対応できない原因は、技術だけとは限りません。

管理情報が整理されていない。
誰が確認するのか決まっていない。
制作会社とお客様の役割分担が曖昧。

こうした運用上の問題が、被害を大きくすることがあります。

今回の更新が終わった後には、ぜひ「次に緊急の問題が出たとき、誰が確認し、誰が判断し、誰が作業するのか」も整理しておいてください。

まとめ：この記事を閉じる前に、確認してください

今回お伝えしたいことは、難しいセキュリティの仕組みではありません。

「明日やろう」ではなく、この記事を読んだタイミングで確認してください。

今回は、本当にそれくらいの緊急度です。