Wurdeyプラグインで管理者ログインを突破、修正版なし
WordPressのWurdeyプラグイン1.0.0以下に、管理者のユーザー名さえ分かれば認証なしで管理者になれる脆弱性があります。修正版は確認できていないため、導入サイトでは無効化と削除を先に進め、管理者アカウントとログも点検してください。
急ぎ度: 至急
CVSS v3が9.8で認証も利用者の操作も要らず、WPScanの記載では修正版も確認されていないためです。
関係があるか
WordPressにWurdeyプラグインを入れている自社サイトや、制作を請け負ったお客様のサイトが対象です。プラグインを入れていなければ影響はありません。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Wurdey（WordPressプラグイン） | 1.0.0以下 | 修正版は確認できていません。WPScanは「No known fix」としています |
確かめ方
- 1WordPressの管理画面でプラグインの一覧を開き、Wurdeyが入っているか、有効かどうかを見ます。
- 2サーバーに入れる場合は
wp plugin list | grep -i wurdeyかls wp-content/plugins | grep -i wurdeyで確認できます。 - 3複数サイトを預かっている場合は、サイトごとに同じ確認をします。無効のまま残っているプラグインも、この段階で洗い出しておくと漏れを防げます。
何が起きたか
WordPressのプラグインWurdeyに、外部の第三者が管理者として認証されてしまう脆弱性が見つかりました。管理者のユーザー名さえ分かれば、パスワードを知らなくてもログインできてしまいます。
原因は、ユーザーをログインさせる前に、リクエストの署名を検証していないことです。CWEはCWE-287に分類されています。
WPScanは2026年11月3日にこの脆弱性を公表しました。CVEの登録は11月6日です。影響を受けるのは1.0.0以下で、WPScanは修正版が確認されていないと記載しています。
攻撃の流れ
-
1
ユーザー名の入手
攻撃者が対象サイトの管理者のユーザー名を知ります。
-
2
ログイン要求を送る
Wurdeyのログイン処理に、外部からリクエストを送ります。
-
3
署名が検証されない
プラグインが署名を確認しないまま、管理者としてログインさせます。
-
4
管理者権限で操作
サイトの設定・ユーザー・投稿などを管理者の権限で変更できる状態になります。
どう悪用されるか
悪用に認証は要りません。インターネット側から対象サイトに届く通信だけで成立し、管理者や閲覧者に何かを操作させる必要もありません。必要なのは、管理者のユーザー名を知っていることだけです。
ログインに成功すれば、その管理者に許された操作がすべて相手のものになります。CVSSのベクターでは、機密性・完全性・可用性のすべてが高い影響とされています。WordPressの管理者は、投稿の書き換え、ユーザーの追加や削除、プラグインやテーマの導入までできる立場です。サイトの改ざんや情報の持ち出しにつながるおそれがあります。
今すぐやること
-
1
Wurdeyが入っているサイトを洗い出す
管理するすべてのWordPressサイトで、Wurdeyの有無と版を確認します。1.0.0以下が見つかったサイトから、次の手順に進みます。
wp plugin list | grep -i wurdey -
2
プラグインを無効化して削除する
修正版が確認されていないため、更新で直す道はありません。Wurdeyの機能が必須でなければ、無効化したうえで削除します。必要な機能があるなら、同じ用途の別のプラグインへの置き換えを検討します。
-
3
管理者アカウントとログを点検する
見覚えのない管理者ユーザー、最近入ったプラグインやテーマ、書き換えられた投稿や設定がないかを見ます。アクセスログでは、Wurdey関連のリクエストの直後に管理者としてログインした記録がないかも調べます。
-
4
侵害の疑いがあれば鍵を入れ替える
不審な操作が見つかったら、管理者のパスワードを変更し、既存のセッションを無効にします。データベースや外部サービスの認証情報も入れ替え、サイトを侵害前のバックアップに戻せるか検討します。
-
5
修正版の有無を開発元の案内で確認する
WordPress.orgのプラグインページや開発元の告知で、修正版が出ていないかを定期的に見ます。修正版が出ても、削除したプラグインを戻すかどうかは、点検の結果を見て決めます。
修正版がないあいだのつなぎ
削除まで時間がかかるときは、まずWurdeyを無効化してください。管理画面に入れない場合は、サーバー上の wp-content/plugins にあるWurdeyのフォルダー名を変えると、WordPressはそのプラグインを読み込まなくなります。無効化しても、すでに侵害されていないかの点検は別に必要です。
背景
WordPressの管理者は、サイトのコンテンツだけでなく、プラグインやテーマの導入、ユーザーの管理まで握っています。管理者として入られると、そのまま任意の機能を追加できてしまいます。認証の突破は、攻撃者にとって最も見返りの大きい脆弱性の一つです。
プラグインが独自のログイン経路を持つ場合、その経路はWordPress本体のパスワード認証を通りません。署名やトークンの検証が抜けていれば、本体側の保護は効きません。Wurdeyの脆弱性もこの型で、ログイン処理の中でリクエストの署名を確認していなかったことが原因です。ユーザー名しか条件がないため、攻撃のハードルは低いとみられます。
よくある質問
Q.管理者のユーザー名を変えれば防げますか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| CVE | Wurdey |
1.0.0 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
The Wurdey WordPress plugin through 1.0.0 does not verify a request signature before logging a user in, allowing unauthenticated attackers to authenticate as an administrator knowing only the administrator's username.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web contact@wpscan.com
- web nvd.nist.gov
- web wpscan.com
- web github.com