WordPress W3 Total Cache の脆弱性 CVE-2025-9501 が FIX：認証不要のリモート・コマンド実行

W3 Total Cache Security Vulnerability Exposes One Million WordPress Sites to RCE

2025/11/20 gbhackers — 広く利用されている WordPress プラグイン W3 Total Cache に深刻なセキュリティ脆弱性 CVE-2025-9501 が発見され、100 万以上の WordPress サイトが深刻なリスクに晒されている。この脆弱性を悪用する攻撃者は、ログイン認証情報を必要とせずに、影響を受けるサイトを完全に制御する可能性がある。

脆弱性の説明

100 万以上の WordPress サイトにインストールされている、W3 Total Cache プラグインのバージョン 2.8.13 未満にコマンド・インジェクションの脆弱性が存在する。この問題は、サイトのコンテンツを処理するプラグインの _parse_dynamic_mfunc 関数で発生する。

FieldValue
CVE IDCVE-2025-9501
Plugin NameW3 Total Cache
Affected VersionsBefore 2.8.13
Fixed Version2.8.13+
Vulnerability TypeUnauthenticated Command Injection
CVSS Score9.0
CVSS SeverityCritical

この脆弱性を悪用する攻撃者は、WordPress のポストに対するコメント内に、悪意のコードを隠して送信する。それに加えて、この脆弱性 CVE-2025-9501 (CVSS：9.0) は認証を必要としないため、特別なアクセス権限を必要とせずに誰でも攻撃を試行できる。挿入されたコマンドは WordPress サイトと同じ権限で実行され、攻撃者は任意の PHP コードを実行して、サイト全体を乗っ取れる。

前述の通り、この攻撃は実行が容易であり、ユーザー操作を必要とせず、インターネット上のあらゆる場所からリモートでの実行が可能である。その結果として、機密データの窃取／マルウェアのインストール／WordPress サイトの改竄などに加えて、悪意のサイトへと訪問者をリダイレクトする可能性もある。

この攻撃を試行する脅威アクターは、バージョン 2.8.13 未満の W3 Total Cache を実行している脆弱な WordPress サイトを見つけ出す。続いて、PHP コードを含む悪意のコメントを送信するだけで、そこに含まれるコマンドがサーバ上で実行される。この攻撃に必要な技術的スキルが最小限であることから、脆弱性 CVE-2025-9501 は極めて危険であると言える。

この脆弱性は 2025年10月27日に公表されているが、この公開の約３週間前から攻撃者は情報を入手していたと考えられる。その期間中において、攻撃者はパッチ未適用のインストール環境を標的にする機会を得ていた。そして、プラグインを更新していない WordPress サイト所有者は、依然として差し迫った危険にさらされている。

解決策として必要なことは、W3 Total Cache プラグインを直ちにバージョン 2.8.13 以降にアップデートすることである。この修正済みバージョンには、脆弱性 CVE-2025-9501 を修正する更新が含まれている。

さらに、WordPress サイト管理者は、公開期間中のサイトのセキュリティログを確認し、不審なコメント・アクティビティや不正な変更の有無を点検する必要がある。それに加えて、攻撃者が追加した可能性のある、悪意の投稿やコメントも確認すべきである。

プラグインの更新に加えて、サイト所有者は追加のセキュリティ対策を検討すべきである。具体的には、定期的なバックアップ／侵入を監視するセキュリティ・プラグインの導入／コメント投稿を登録ユーザーに制限することなどが、追加すべき対策となる。

すべての WordPress プラグイン／テーマ／コアファイルを最新の状態に保つことは、安全なサイトを維持するために不可欠である。W3 Total Cache プラグインは、サイトのパフォーマンス向上に有効なツールである。しかし、他のソフトウェアと同様に、セキュリティを維持するためには定期的な更新が必要である。

W3 Total Cache に深刻なコマンド・インジェクション脆弱性が発見されました。この脆弱性は、プラグイン内部の関数で不正な入力が適切に処理されないことに起因し、攻撃者がコメント経由でコードを紛れ込ませるだけで実行されてしまう点が大きなリスクになっています。しかも認証が不要なため、攻撃のハードルが低いことも状況を深刻にしています。利用のチームは、ご注意ください。よろしければ、W3 Total Cache での検索結果も、ご参照ください。