FunnelKit AutomationsにSQLインジェクション脆弱性
WordPressのマーケティング自動化プラグインFunnelKit Automationsの3.8.5.2以前に、データベースの中身を読み取られるおそれのある重大な脆弱性が見つかりました。このプラグインを使っているWordPressサイトの管理者は、導入の有無と版を確認し、修正版が出ていれば更新してください。
急ぎ度: 早めに
CVSS v3は9.3のcriticalで、認証なしで外部から狙える評価ですが、実際の悪用を示す情報はなく、修正版の版番号もベンダーの告知で確認する段階のため、至急ではなく早めの対応としました。
関係があるか
FunnelKit Automations（スラッグはwp-marketing-automations）を有効にしているWordPressサイトが対象です。WooCommerceと組み合わせて顧客リストやメール配信を管理しているECサイトでは、データベースに載っている情報が多いため、とくに優先して確認してください。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| FunnelKit Automations（wp-marketing-automations） | 3.8.5.2以前（影響する範囲の下限は示されていません） | 版番号はベンダーの告知とPatchstackの情報で確認してください |
確かめ方
- 1WordPressの管理画面で「プラグイン」を開き、FunnelKit Automationsが入っているか、有効か、版はいくつかを見る。
- 2WP-CLIが使える環境では、次のコマンドで版を確認する。
- 3複数サイトを管理している場合は、サイトごとに導入状況を洗い出す。無効化していても、プラグインのファイルが残っていれば削除まで済ませる。
何が起きたか
FunnelKit Automationsに、SQLインジェクションの脆弱性が見つかりました。悪用されると、WordPressが使うデータベースの内容を外部から読み取られるおそれがあります。
種類はブラインドSQLインジェクションです。画面にデータベースの回答がそのまま出なくても、応答の違いなどを手がかりに、情報を少しずつ引き出される攻撃にあたります。原因は、SQL文に使う特別な文字の無害化が不十分なこと（CWE-89）です。
3.8.5.2までの版が影響を受けるとされています。脆弱性の情報は2026年10月28日に公開されました。
攻撃の流れ
-
1
サイトへ到達
攻撃者がインターネット経由で、プラグインを入れたWordPressサイトにアクセスします。
-
2
不正な入力
プラグインが受け取る値に、SQL文として解釈される内容が混ぜられます。
-
3
DBへ問い合わせ
無害化が不十分なため、意図しないSQLがデータベースで実行されます。
-
4
少しずつ読み取り
応答の違いを手がかりに、データベースの内容が少しずつ外部に読み取られます。
どう悪用されるか
CVSSのベクターでは、ネットワーク越しに攻撃でき、攻撃の複雑さは低く、認証も利用者の操作も要らないと評価されています。ログインしていない第三者が、サイトに到達できれば試せる条件です。
被害は、機密性への影響が高、可用性への影響が低、完全性への影響はなしと評価されています。つまり中心になるのは情報の読み取りです。プラグインの顧客データやメール配信先に加え、同じデータベースにあるユーザー情報なども対象になりえます。ベクターでは影響範囲が変わる（S:C）とされており、プラグイン単体にとどまらない点にも注意が必要です。
今すぐやること
-
1
導入の有無と版を確認する
管理画面かWP-CLIで、FunnelKit Automationsの導入状況と版を調べます。複数サイトを運用しているなら、まず一覧を作ってください。
wp plugin get wp-marketing-automations --field=version -
2
修正版が出ていれば更新する
ベンダーの告知とPatchstackのページで修正版の有無を確認し、あれば本番より先に検証環境で動作を見たうえで更新します。更新前にデータベースとファイルのバックアップを取っておくと、戻せるので安心です。
-
3
修正版がなければ無効化を検討する
修正版が見当たらない間は、プラグインの無効化を検討します。自動メールやフローが止まる影響と、顧客データを読み取られるリスクを比べて決めてください。
-
4
アクセスログを見直す
公開日以降のWebサーバーのログで、プラグイン関連のURLへの異常に多いリクエストや、不審なパラメーターを含むリクエストがないかを確認します。ブラインド型は短時間に同種のリクエストが大量に出る傾向があるため、件数の偏りも手がかりになります。
-
5
漏えいの疑いがあれば資格情報を替える
不審な形跡があれば、管理者のパスワードと、データベースに保存している可能性のあるAPIキーや連携用の認証情報を替えます。個人情報の流出が疑われる場合は、社内の窓口にも連絡してください。
すぐ更新できないとき
すぐに更新も無効化もできないときは、WAFでSQLインジェクションを検知・遮断するルールを有効にし、ログの監視を強めてください。ただしWAFは暫定の防御です。修正版が出たら更新して、WAFを頼りにする状態を終わらせます。
背景
FunnelKit Automationsは、WordPressやWooCommerceのサイトで、メール配信、顧客の行動に応じた自動フロー、連絡先の管理などを担うプラグインです。顧客のメールアドレスや購入に関する情報など、事業の中心になるデータを扱うため、データベースの読み取りにつながる脆弱性は影響が大きくなります。
WordPressでは、プラグインもサイト本体も同じデータベースを使うのが一般的です。そのためSQLインジェクションが起きると、プラグインが管理する情報だけでなく、ユーザーアカウントなどサイト全体のデータにも波及しえます。このページでも、影響範囲が変わる評価が付いている点が、その性質と合っています。
よくある質問
Q.プラグインを無効化すると、配信中のメールや自動フローはどうなりますか。
Q.個人情報が漏れたかどうかは、どう判断すればよいですか。
まだ分かっていないこと
- 修正版の版番号と公開状況は、公表されていません。ベンダーの告知とPatchstackのページで確認してください。
- 実際の攻撃での悪用が確認されているかどうかは、分かっていません。
- 脆弱な機能や入口の詳細、有料版（Pro）への影響の有無は、公表されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Aman | FunnelKit Automations |
3.8.5.2 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in Aman FunnelKit Automations wp-marketing-automations allows Blind SQL Injection.This issue affects FunnelKit Automations: from n/a through 3.8.5.2.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web audit@patchstack.com
- web nvd.nist.gov
- web github.com