WordPressテーマSave Lifeに重大な欠陥、認証不要で悪用の恐れ
WordPress用テーマ「Save Life」の1.2.14以前に、信頼できないデータを不用意に読み込むことで発生するPHPオブジェクトインジェクションの脆弱性(CVE-2026-112846)が見つかりました。ログインなしでネットワーク越しに悪用でき得る内容で、CVSS v3は9.8(重大)です。該当テーマを使うサイトは、利用の有無と版を確認し、ベンダーの告知で修正版の有無を確かめてください。
急ぎ度: 早めに
CVSS 9.8で認証なしに悪用できる条件ですが、実際の攻撃での悪用確認（KEV）や悪用の見込み（EPSS）は公表されておらず、修正版の有無も現時点では確認できないためです。
関係があるか
ThemeREX Group製のWordPressテーマ「Save Life」を、有効化している、または導入したまま残しているWordPressサイトが対象です。企業の公式サイト、寄付や支援を扱う団体サイトなど、外部に公開しているサイトで特に注意が必要です。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| ThemeREX Group Save Life(WordPressテーマ save-life) | 1.2.14以前 | 公表されていません。ベンダーの告知とPatchstackの情報で確認してください |
確かめ方
- 1WordPressの管理画面で「外観」→「テーマ」を開き、Save Lifeが導入されているか、有効化されているかを確認します。
- 2Save Lifeが見つかった場合は、テーマの詳細画面で版を確認し、1.2.14以前かどうかを見ます。
- 3子テーマを使っている場合は、親テーマとしてSave Lifeが指定されていないかも確認します。
- 4複数のサイトを管理している場合は、各サイトの
wp-content/themes/配下にsave-lifeディレクトリがないかを一覧で確認します。
何が起きたか
WordPressのテーマ「Save Life」に、外部から送られたデータを安全性の確認なしに読み込んでしまう弱点が見つかりました。この弱点により、攻撃者がサイトの動作を意図しない形に変えられる可能性があります。ログインは不要で、ネットワーク越しに悪用でき得る条件とされており、評価は最高に近い9.8です。
この種類の弱点は「安全でないデシリアライゼーション」（CWE-502）と呼ばれます。デシリアライゼーションとは、保存や送信のために文字列にしたデータをプログラム内のオブジェクトに戻す処理です。PHPではこの処理に細工されたデータを渡されると、サイト内にすでにあるプログラムの部品が想定外の動きをさせられることがあります。これがPHPオブジェクトインジェクションです。
実際にどこまでの被害につながるかは、同じサイトに入っているテーマやプラグインなど、他のコードの内容にも左右されます。公表されている情報では、具体的な悪用の経路や、被害の程度は示されていません。
攻撃の流れ
-
1
対象サイトを探す
インターネットに公開された、Save Life 1.2.14以前を使うWordPressサイトが狙われる対象になります。
-
2
細工データを送る
ログインなしで、特殊な形式のデータをサイトに送りつけます。
-
3
不用意に読み込む
テーマ側が受け取ったデータを安全確認なしにオブジェクトへ戻してしまいます。
-
4
動作が乗っ取られる
サイト内の既存の部品が意図しない動きをし、情報の漏えいや改ざんなどにつながる恐れがあります。
どう悪用されるか
悪用に必要な条件は、ネットワーク経由でサイトに到達できることだけです。認証は不要で、利用者に何かを操作させる必要もなく、攻撃の難易度は低いと評価されています。そのため、インターネットに公開されているサイトは誰でも標的になり得ます。
悪用された場合の影響は、情報の漏えい、サイト内容の改ざん、サービス停止のいずれも高い水準と評価されています。ただし、実際の被害は同じサイトで動く他のコードの構成に依存します。実際の攻撃で悪用された事例は、現時点で公表されていません。
今すぐやること
-
1
Save Lifeの利用有無と版を確認する
管理しているすべてのWordPressサイトで、Save Lifeが導入されているか、1.2.14以前かを確認します。確認できたサイトを優先度付けの対象にします。
-
2
修正版の公開状況を確認する
ThemeREX Groupの告知や、参考情報のPatchstackのページで、修正版が出ているかを確認します。修正版が出ていれば、バックアップを取ってから更新します。
-
3
使っていなければテーマを削除する
有効化していないSave Lifeが残っている場合は、管理画面から削除します。使わないテーマを残さないことが、攻撃対象を減らす基本です。
-
4
WAFで防御を補強する
WAFを使っている場合は、ベンダーが提供する該当脆弱性向けのルールがあるかを確認し、有効にします。
-
5
改ざんや不審な動きの痕跡を点検する
見覚えのない管理者アカウント、更新していないファイルの変更、不審なアクセスログがないかを確認します。見つかった場合はサイトを隔離し、調査します。
すぐ更新できないとき
修正版が出ていない、または直ちに適用できない場合は、別のテーマに切り替えてSave Lifeを無効化し、可能なら削除します。テーマを切り替えられない場合は、WAFによる防御の強化や、サイトへのアクセス制限を検討してください。切り替えの前にはファイルとデータベースのバックアップを取り、表示崩れがないか確認します。
背景
WordPressのテーマは、サイトの見た目だけでなく、独自の機能や設定画面、データを受け取る処理まで含むことが多く、サイトの中で実際に動くプログラムそのものです。管理画面から簡単に導入できる反面、有効にしていなくても導入されたまま残っていると、攻撃の入口になることがあります。
PHPオブジェクトインジェクションを含む、信頼できないデータの復元に起因する弱点は、WordPressのテーマやプラグインで繰り返し報告されてきた種類の問題です。外部から入ってきたデータを復元する処理に十分な確認がないと、重大な被害につながりやすいため、評価が高くなる傾向があります。
よくある質問
Q.Save Lifeを有効化していなければ影響はありませんか。
Q.すでに攻撃を受けているのでしょうか。
Q.修正版はありますか。
まだ分かっていないこと
- 修正版の有無と、直った版の番号は公表されていません。
- 実際の攻撃での悪用の有無や、悪用される見込みを示す指標は現時点で明らかになっていません。
- 具体的にどの機能や経路が影響を受けるのか、またどの程度の被害につながるのかは公表されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| ThemeREX Group | Save Life |
1.2.14 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Deserialization of Untrusted Data vulnerability in ThemeREX Group Save Life save-life allows Object Injection.This issue affects Save Life: from n/a through 1.2.14.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web audit@patchstack.com
- web nvd.nist.gov
- web github.com