WordPressコアの遠隔コード実行（RCE）脆弱性を狙った攻撃が、更新版の公開後24時間で6万件を超えた。Cybersecurity Newsが10月31日、現地時間で報じた。
報道によると、セキュリティ企業Wordfenceは24時間で6万471件の攻撃試行を遮断した。この数値はあくまで試行回数であり、実際に侵害されたサイト数や被害件数を示すものではない。対象となった個別サイト数も明らかになっていない。
WordPressは10月28日、計22件の脆弱性を修正した「7.1.4」を公開した。今回の更新ではRCEのほか、保存型クロスサイトスクリプティング（XSS）、情報漏えい、権限関連の問題も修正した。
今回の脆弱性は、競合状態（レースコンディション）を悪用するタイプとされる。WordPressは更新時、一時的なインストール用ファイルを短時間生成する。攻撃者はこのインストーラーを自らが管理するデータベースに接続させることで、サーバー上でコードを実行できる可能性があるという。
悪用可能な時間は通常、数秒程度に限られる。このため攻撃者はリクエストを繰り返し送り、更新ファイルが露出する瞬間を狙うとされる。
旧バージョンの利用者は、7.0.8や6.9.11など、セキュリティサポート対象のバージョンへ更新する必要がある。4.6以前はセキュリティ更新の対象外だ。自動更新を有効にしている場合でも、インストールが正常に完了したかどうかを確認する必要があるという。
著者について
Chi-gyu Hwang
delight@d-today.co.kr