WordPress Plugin – IoT OT Security News

WordPress OttoKit Plugin の脆弱性 CVE-2025-27007 が FIX：すでに悪用が始まっている

CVE-2025-27007: Critical OttoKit WordPress Plugin Flaw Exploited After Disclosure, 100K+ Sites at Risk

2025/05/06 SecurityOnline — 10万件以上のアクティブ・インストール数を誇る、人気の WordPress プラグイン OttoKit に発見された深刻な脆弱性により、無数の Web サイトがセキュリティ侵害の危険にさらされている。この脆弱性 CVE-2025-27007 (CVSS 9.8) は、Denver Jackson により発見され、Patchstack ゼロデイ・バグ報奨金プログラムを通じて公開された。そして、公開から１時間も経たないうちに悪用が始まってしまったという。

WordPress RomethemeKit の脆弱性 CVE-2025-30911 が FIX：低権限ユーザーによる RCE

RomethemeKit Elementor Plugin Flaw Enables RCE: CVE-2025-30911

2025/04/17 SecurityOnline — 30,000+ のインストール数を誇る　WordPress プラグイン RomethemeKit For Elementor に発見された脆弱性により、認証済みの悪意のユーザーが、不適切な権限の取得と nonce チェックを達成し、リモート・コード実行 (RCE) に到達するという。この脆弱性 CVE-2025-30911 の CVSS スコアは 9.9 であり、Critical と評価されている。

WordPress Everest Forms の脆弱性 CVE-2025-3439 が FIX：PHP オブジェクト・インジェクションの可能性

Critical Vulnerability in Everest Forms Plugin Threatens WordPress Sites

2025/04/12 SecurityOnline — WordPress プラグイン Everest Forms で発見された深刻なセキュリティ脆弱性により、10万以上の Web サイトが潜在的なリスクにさらされている。この脆弱性 CVE-2025-3439 (CVSS：9.8) は、PHP オブジェクト・インジェクションの欠陥であり、それを悪用する未認証の攻撃者に対して、悪意のコード挿入を許すものである。

WordPress InstaWP の脆弱性 CVE-2025-2636 が FIX：サーバの制御を奪われる可能性

InstaWP Connect Plugin Exposes WordPress Sites to Critical File Inclusion Vulnerability

2025/04/11 SecurityOnline — WordPress の InstaWP Connect プラグインに深刻なセキュリティ脆弱性が確認され、このツールを使用する Web サイトに重大なリスクが生じている。この脆弱性 CVE-2025-2636 は、未認証のローカル PHP ファイル・インクルードの脆弱性であり、その影響を受ける Web サイトを、攻撃者が完全に制御する可能性がある。

WordPress SureTriggers プラグインの脆弱性 CVE-2025-3102 が FIX：PoC も提供

Rogue Account‑Creation Flaw Leaves 100 K WordPress Sites Exposed

2025/04/10 gbhackers — WordPress のプラグイン SureTriggers に、深刻な脆弱性 CVE-2025-3102 が発見された。この脆弱性により、10万以上の Web サイトが危険にさらされると懸念されている。この問題により、SureTriggers プラグインが適切にコンフィグされていないサイトにおける、不正な管理者ユーザーの作成を、攻撃者は可能にするとされる。なお、この脆弱性は、セキュリティ研究者である mikemyers により発見されたものである。

WordPress Uncanny Automator プラグインの脆弱性 CVE-2025-2075 が FIX：Admin 権限への昇格の恐れ

50K+ WordPress Sites Exposed: Admin Takeover via Uncanny Automator

2025/04/05 SecurityOnline — 人気の WordPress プラグイン Uncanny Automator で発見された脆弱性により、50,000 以上の Web サイトにおいて、完全な侵害の可能性が生じている。この脆弱性 CVE-2025-2075 (CVSS：8.8) 悪用する認証済の攻撃者は、サブスクライバー・レベルのアクセス権を持つだけで、その権限を管理者へと昇格できる。つまり、攻撃者は実質的に、標的サイトを完全に制御できることになる。

WordPress MU-Plugins の問題点：悪意のコードを実行する３種類のペイロードとは？

Hackers abuse WordPress MU-Plugins to hide malicious code

2025/03/31 BleepingComputer — WordPress の mu-plugins (Must-Use Plugins) ディレクトリを悪用するハッカーたちは、検出を回避しながら、すべてのページで悪意のコードを秘密裏に実行している。この攻撃の手法は、2025年2月に Sucuri のセキュリティ研究者により発見されたものである。その後も、この手法を採用する比率は上昇しており、いまのアクターたちは、このフォルダーを悪用することで、３種類の悪意のコードを実行している。

WordPress – User Registration & Membership プラグインの脆弱性 CVE-2025-2563 が FIX：PoC も公開

WordPress Plugin CVE-2025-2563 Scores 9.8, Threatens Thousands of Membership Sites

2025/03/27 SecurityOnline — Web サイトのメンバーシップや登録フォームの作成で人気を博している、WordPress の User Registration & Membership プラグインに、深刻なセキュリティ脆弱性が発見された。この脆弱性 CVE-2025-2563 の CVSS スコアは 9.8 であり、高い深刻度を示している。

WordPress WP Ghost プラグインの脆弱性 CVE-2025-26909 が FIX：LFI から RCE へのチェーン

Critical Vulnerability Discovered in Popular WordPress Security Plugin WP Ghost

2025/03/24 SecurityOnline — 人気の WordPress プラグイン WP Ghost に、深刻度の高いセキュリティ脆弱性が発見された。John Darrel により開発された WP Ghost は、広く使用される無料のセキュリティ／ファイアウォール・プラグインであり、そのアクティブインストール数は 200,000 を超える。このプラグインにより追加されるセキュリティ・レイヤーには、ボットのブロックや、不正アクセスの防止などがあり、WordPress Web サイトのセキュリティ強化が推進される。

WordPress Age Gate Plugin の深刻な脆弱性 CVE-2025-2505 が FIX：RCE の可能性

Critical WordPress Plugin Vulnerability Exposes Over 40,000 Websites to Code Execution Attacks

2025/03/20 SecurityOnline — WordPress の人気プラグイン Age Gate に、深刻な脆弱性 CVE-2025-2505 (CVSS：9.8) が発見された。この脆弱性により、40,000 以上の Web サイトに、認証を必要としないリモート・コード実行の可能性が生じている。

WordPress HUSKY (WOOF) の脆弱性 CVE-2025-1661 が FIX：任意の PHP コードの挿入と実行

Critical Flaw Exposes 100,000+ WooCommerce Sites: Unauthenticated File Inclusion Threatens Total Takeover

2025/03/11 SecurityOnline — 人気の WordPress プラグイン HUSKY (旧 WOOF：WooCommerce Products Filter Professional）に重大な脆弱性が発見され、10 万以上のオンライン・ストアが完全に侵害される危険にさらされている。この脆弱性 CVE-2025-1661 (CVSS：9.8) の悪用に成功した未認証の攻撃者は、影響を受けるサーバ上で任意のファイルを操作し、データ侵害／サイト改竄に加えて、システムを完全に制御する可能性を得る。

WordPress Chaty Pro の脆弱性 CVE-2025-26776 (CVSS：10) が FIX：数千のサイトに乗っ取りの可能性

CVE-2025-26776 (CVSS 10) in Chaty Pro Plugin Exposes Thousands of WordPress Sites to Takeover

2025/03/05 SecurityOnline — WordPress プラグイン Chaty Pro で発見された、深刻な脆弱性を悪用する攻撃者は、Web サイトの完全な乗っ取りの機会を手にする。このプラグインは、Web サイトへの訪問者が、WhatsApp や Facebook Messenger などの各種プラットフォーム経由で接続するための、チャット・ボタンを提供するものだ。その Chaty Pro に深刻なセキュリティ上の欠陥が確認され、推定で 18,000 件のアクティブ・インストールへの影響が懸念されている。

WordPress GiveWP の脆弱性 CVE-2025-0912 が FIX：未認証での PHP インジェクション

CVE-2025-0912: Critical Flaw Exposes Over 100,000 WordPress Donation Sites to RCE

2025/03/04 SecurityOnline — WordPress で人気を誇る、ドネーション・プラグイン GiveWP に深刻なセキュリティ脆弱性が発見され、10 万以上の Web サイトが重大なリスクにさらされている。この脆弱性 CVE-2025-0912 は、CVSS スコアが 9.8 と評価され、最も深刻度の高い部類に入る。

WordPress プラグイン Essential Addons for Elementor の脆弱性 CVE-2025-24752 が FIX：XSS の可能性

CVE-2025-24752: Massive WordPress Plugin Vulnerability Exposes Millions to XSS Attacks

2025/02/25 SecurityOnline — 広く使用されている WordPress プラグイン Essential Addons for Elementor に、深刻度の高いセキュリティ上の欠陥が発見され、200 万を超える Web サイトが危険にさらされているという。この脆弱性 CVE-2025-24752 の悪用に成功した攻撃者は、無防備なユーザーのブラウザに有害なスクリプトを挿入できる、反射型クロス・サイト・スクリプティング (XSS) の可能性を手にする。

WordPress Everest Forms Plugin の脆弱性 CVE-2025-1128 が FIX：サイト乗っ取りの可能性

CVE-2025-1128: Everest Forms Plugin Exposes 100,000+ WordPress Sites to Complete Takeover

2025/02/24 SecurityOnline — 人気の WordPress プラグイン Everest Forms で発見された、深刻なセキュリティ脆弱性 CVE-2025-1128 (CVSS：9.8：Critical) により、10 万以上の Web サイトが侵害のリスクに直面していることが判明した。この脆弱性の悪用に成功した未認証の攻撃者は、任意のファイルのアップロード／リモート・コードの実行／重要なコンフィグ・ファイルの削除などを達成し、サイト全体の乗っ取りの可能性を手にする。

WordPress Jupiter X Core プラグインの脆弱性 CVE-2025-0366 が FIX：RCE の恐れ

90,000 Sites at Risk: Jupiter X Core RCE Vulnerability (CVE-2025-0366)

2025/02/18 SecurityOnline — 90,000 を超えるアクティブ・インストールを誇る、人気の Jupiter X Core WordPress プラグインに脆弱性 CVE-2025-0366 が発見され、修正された。この脆弱性の悪用に成功した認証済の攻撃者は、脆弱なサイト上でリモート・コード実行 (RCE) の可能性を得るという。

WordPress s2Member Pro の脆弱性 CVE-2024-12562 が FIX：PHP オブジェクト挿入の可能性

CVE-2024-12562: Critical s2Member Pro Flaw Leaves Millions of WordPress Sites Vulnerable

2025/02/17 SecurityOnline — WordPress の人気プラグイン s2Member Pro に、深刻なセキュリティ脆弱性が発見され、数百万の Web サイトに影響が及ぶ可能性があるという。この脆弱性 CVE-2024-12562 (CVSS：9.8) の悪用に成功した未認証の攻撃者には、脆弱なサイトへの悪意の PHP オブジェクト・インジェクションが許される可能性が生じる。

WordPress ComboBlocks の脆弱性 CVE-2024-9636 が FIX：４万件のサイトが危険な状態に

CVE-2024-9636: Popular WordPress Plugin ComboBlocks Exposes Thousands of Sites to Complete Takeover

2025/01/16 SecurityOnline — WordPress のプラグインである ComboBlocks (旧 Post Grid) に、深刻な脆弱性 CVE-2024-9636 (CVSS：9.8) が発見された。Web サイトのデザインと機能を強化するプラグインとして人気の ComboBlocks を使用している、４万以上の Web サイトが、この脆弱性による完全な乗っ取りの危険に晒されている。この脆弱性の悪用に成功した未認証の攻撃者は、管理者としてアカウントを登録し、影響を受ける Web サイトを完全に制御する可能性を手にする。