WP Time Capsule の脆弱性 CVE-2024-8856 が FIX：20,000+ のサイトに乗っ取りの可能性

CVE-2024-8856: WP Time Capsule Plugin Vulnerability Exposes 20,000+ Sites to TakeOver

2024/11/16 SecurityOnline — WordPress バックアップ・プラグインである、WP Time Capsule の深刻度の高い脆弱性により、20,000 を超える Web サイトにおいて、完全な乗っ取りの可能性が生じている。セキュリティ研究者 Rein Daelman により発見された、この脆弱性 CVE-2024-8856 を悪用する未認証の攻撃者により、Web サイトのサーバへの任意のファイルのアップロードが可能になるという。つまり、攻撃者による、バックドアやマルウェアの挿入や、サイトの完全な乗っ取りも可能になる。

この脆弱性は、WP Time Capsule プラグインの “UploadHandler.php” にファイル・タイプの検証が欠落していること、そして、ダイレクトなファイル・アクセスを防止できないことに起因している。この危険な組み合わせにより、脆弱な Web サイトを侵害する簡単な方法を、攻撃者は手に入れることになる。

CVSS スコアが 9.8 であるため、この脆弱性は Critical に分類されている。したがって、Web サイトの所有者にとっては、直ちに行動を起こす緊急性が生じている。この脆弱性が悪用されると、次の事態が発生する可能性がある。

• データ侵害：機密性の高いユーザー情報／財務データ／独自コンテンツなどが、攻撃者などが盗まれる可能性がある。
• Web サイトの改竄： 悪意の人物が、Web サイトのコンテンツを変更し、ユーザーの評判／信頼を損なう可能性が生じる。
• マルウェアの配布：侵害したサイトの悪用により、疑いを持たない訪問者に対して、マルウェアが配布される可能性がある。
• サーバの完全な乗っ取り：攻撃者により、Web サイトをホストするサーバの制御が、完全に乗っ取られる可能性がある。

すでに WP Time Capsule 開発チームは、バージョン 1.22.22 をリリースし、この脆弱性に対処している。すべてのユーザーに対して強く推奨されるのは、このバージョンへと、ただちにアップデートすることだ。

以下に紹介するのは、WordPress ユーザーにとって重要なベスト・プラクティスである。

• 評判の良いプラグインの選択：セキュリティ実績が良好な、信頼できるソースからのプラグインのみをインストールする。
• プラグインとテーマを最新の状態に保つ：すべてのプラグインとテーマを定期的に、最新バージョンへと更新し、セキュリティの脆弱性を修正する。
• 強力なパスワードの使用：WordPress 管理者アカウントと、すべてのユーザー・アカウントに対して、強力で一意のパスワードを選択する。
• 二要素認証の実装：二要素認証を有効化し、セキュリティを強化する。
• Web サイトの定期的なバックアップ：セキュリティ・インシデントやデータ損失からの回復において、バックアップは不可欠である。

WP Time Capsule というバックアップ・プラグインの脆弱性が FIX しました。インストール数に関しては 20,000+ と司祭されているので、日本国内にも相当数のユーザーがいるものと思われます。ご利用のチームは、十分に ご注意ください。よろしければ、WordPress で検索も、ご参照ください。