対象
WordPress本体(コアソフトウェア) – バージョン6.8系、6.9系、7.0系、7.1ベータ版を利用するすべてのサイト
原因
今回の7.0.2リリースでは、深刻度が「critical」の脆弱性1件と「high」の脆弱性1件が修正されました。1つ目は、「facilitated SQL injection(補助的なSQLインジェクション)」に関する問題です。2つ目は、REST APIのバッチルート処理における混同(confusion)に起因するSQLインジェクションで、これがリモートコード実行(RCE)につながる可能性がある問題とされています。
影響を受けるシステム
- WordPress 6.8系(6.8.6より前) – 1つ目の脆弱性(SQLインジェクション)のみ影響あり
- WordPress 6.9系(6.9.5より前) – 両方の脆弱性の影響あり
- WordPress 7.0系(7.0.2より前) – 対象リリースそのもの
- WordPress 7.1ベータ版(7.1 beta2より前) – 両方の脆弱性の影響あり
- WordPress 6.8より前のバージョンは影響を受けない
想定される被害
2つ目の脆弱性(REST APIのバッチルート混同によるSQLインジェクション)が「リモートコード実行(Remote Code Execution)につながる」と明記されています。深刻度が高いため、影響を受けるバージョンを稼働させているサイトに対し、自動更新システムを通じた強制アップデートを有効化する対応が取られました。1つ目の脆弱性については「facilitated SQL injection」という名称のみが記載されています。
対策
- WordPress 7.0系利用者は7.0.2へ更新する
- WordPress 6.9系利用者は6.9.5へ更新する
- WordPress 6.8系利用者は6.8.6へ更新する
- WordPress 7.1ベータ版利用者はbeta2へ更新する
ダッシュボードから「更新」→「今すぐ更新」をクリックして手動更新する、またはWordPress.orgから7.0.2をダウンロード。
自動バックグラウンド更新に対応したサイトでは自動的に更新プロセスが開始されます。セキュリティリリースであるため直ちに更新することが推奨されています。
一般的な参考情報
2件の脆弱性それぞれの技術的な攻撃手法(具体的にどのようにSQLインジェクションが成立するか、REST APIのどのエンドポイントがどう悪用されるかなど)や、実際に悪用された被害事例についての記述は参照元の記事にはありません。一般的には、SQLインジェクションは入力値の検証・エスケープ処理の不備を突いてデータベースへ不正なクエリを送り込む攻撃であり、認証情報の窃取やデータ改ざんにつながることがあります。また、SQLインジェクションからリモートコード実行(RCE)に発展するケースでは、データベース経由でファイル書き込みやWebシェル設置などが行われ、サーバーの完全な乗っ取りに至ることが一般的に知られています。