WordPressテーマHostme v2に重大な欠陥、修正版は未確認
WordPress用テーマ「Hostme v2」の7.0以前に、認証なしで外部から悪用できる可能性のあるPHPオブジェクト注入の脆弱性が見つかりました。CVSSは9.8と最高クラスですが、実際の攻撃で悪用された確認(KEV)はなく、修正版の有無も公表されていません。このテーマを使うサイトの管理者は、まず版を確認し、ベンダーの告知を見て、修正版が出るまでは代替策を検討してください。
急ぎ度: 早めに
CVSSは9.8で認証なしの遠隔悪用が想定されますが、実際の悪用は確認されておらず、修正版の情報もまだ公表されていないためです。
関係があるか
WordPressでAivahThemesのテーマ「Hostme v2」を使っているサイトが対象です。ホスティング事業者の紹介サイトや、このテーマで作られた企業サイトなどが当てはまります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| AivahThemes Hostme v2(hostmev2、WordPressテーマ) | 7.0以前（下限はn/aと記載されており、公表されていません） | 公表されていません |
確かめ方
- 1WordPressの管理画面で「外観」→「テーマ」を開き、Hostme v2がインストールされているか、有効化されているか、版が何かを確認します。
- 2有効化していなくても、テーマのファイルがサーバー上に残っていれば確認の対象にします。使わないテーマは削除を検討してください。
- 3複数のサイトを管理している場合は、各サイトの
wp-content/themes/配下にhostmev2ディレクトリがあるかを調べます。 - 4子テーマを使っている場合は、親テーマがHostme v2かどうかも確認します。
何が起きたか
WordPress用の有料テーマ「Hostme v2」に、外部から送られたデータを十分に確かめないままプログラムの内部データに戻してしまう欠陥が見つかりました。この欠陥はPHPオブジェクト注入と呼ばれます。条件がそろうと、サイトの運営者が意図しない動作を外部の第三者が引き起こせる可能性があります。
分類はCWE-502（信頼できないデータのデシリアライゼーション）です。デシリアライゼーションとは、文字列などの形で保存・送信されたデータを、プログラム内部で使えるオブジェクトに復元する処理のことです。復元するデータが攻撃者の用意したものだと、プログラムが予期しないオブジェクトが作られます。
CVSS v3.1のベクターは AV:N/AC:L/PR:N/UI:N で、ネットワーク越しに、特別な条件や認証、利用者の操作なしで悪用できる想定です。ただし、実際にどこまでの被害になるかは、サイトに入っている他のプラグインやテーマの構成にも左右されます。公表された情報では、具体的な影響範囲の詳細までは分かっていません。
公表元はWordPressの脆弱性を扱うPatchstackのデータベースです。本稿の執筆時点で、修正版の有無や版番号はこの情報からは分かりません。
攻撃の流れ
-
1
対象の特定
攻撃者がHostme v2を使っているWordPressサイトを見つけます。
-
2
細工データ送信
認証なしで、テーマが処理する入口に細工したデータが送られます。
-
3
不正な復元
テーマが検証せずにデータをオブジェクトへ復元し、想定外のオブジェクトが作られます。
-
4
意図しない動作
サイト内の他のコードの条件次第で、情報の漏えいや改ざん、停止が起こり得ます。
どう悪用されるか
悪用の前提は、攻撃者がインターネット経由でサイトにアクセスできることです。認証（PR:N）も利用者の操作（UI:N）も不要とされ、攻撃の難易度は低い（AC:L）と評価されています。公開サイトであれば、外部の誰でも試せる状態にあると考えるのが安全です。
想定される被害は、機密性・完全性・可用性のいずれも高い影響（C:H/I:H/A:H）とされています。具体的には、サイト内の情報の読み取り、ファイルやデータの改ざん、サイトの停止などが考えられます。ただし、どの被害が実際に起こるかは、サイトの構成によって変わります。
KEV（実際の攻撃での悪用が確認された脆弱性の一覧）への掲載は確認されておらず、EPSS（悪用される見込みの指標）の値も提供されていません。現時点では、悪用の事例は公表されていません。ただし、この種の欠陥は公開後に調べられやすいため、放置は避けてください。
今すぐやること
-
1
使用の有無と版を確認する
管理画面の「外観」→「テーマ」でHostme v2の有無と版を確認します。7.0以前なら対象です。
-
2
ベンダーの告知で修正版を確認する
AivahThemesの配布元と、Patchstackの情報ページで、修正版が出ているかを確認します。修正版が出ていれば、バックアップを取ってから更新してください。
-
3
使っていないなら削除する
Hostme v2を使っていない、または別のテーマに切り替えられる場合は、テーマ自体をサーバーから削除します。無効化だけでは、ファイルが残るため不十分な場合があります。
-
4
バックアップを取得する
更新や削除の前に、サイトのファイルとデータベースのバックアップを取り、復元できることを確かめます。
-
5
ログと不審な変更を点検する
アクセスログに見慣れない大量のリクエストがないか、予期しない管理者アカウントやファイルの変更がないかを確認します。
すぐ更新できないとき
修正版が公表されるまでの間は、別のテーマへの切り替えとHostme v2の削除が最も確実です。切り替えが難しい場合は、WAF（Webアプリケーションファイアウォール）の導入や、サイトへのアクセス元の制限を検討してください。ただし、これらがこの欠陥を防げるかはベンダーから公表されていないため、あくまで被害を減らす補助策と考えてください。
背景
WordPressのテーマは、見た目だけでなく、サイトの機能を追加する処理も含みます。そのため、テーマの欠陥はサイト全体の安全性に直結します。有料テーマや小規模な開発元のテーマは、利用者が更新情報を追いにくく、気づかないまま古い版が使われ続けることがあります。
デシリアライゼーションの欠陥は、PHPに限らず多くの言語で繰り返し問題になってきた種類の弱点です。外部から来たデータを内部のオブジェクトに戻す処理は、検証が不十分だと、プログラムの想定外の動きを招きます。そのため、重大な脆弱性として扱われることが多く、開発側には、外部データを直接復元しない設計が求められています。
よくある質問
Q.テーマを有効にしていなければ影響はありませんか。
Q.すでに攻撃されているのですか。
Q.修正版はありますか。
まだ分かっていないこと
- 修正版の有無と、直った版番号は公表されていません。
- 影響を受ける版の下限はn/aと記載されており、どの版から影響するかは明らかになっていません。
- 実際の攻撃での悪用の有無や、具体的な被害の範囲は、現時点で明らかになっていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| AivahThemes | Hostme v2 |
7.0 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Deserialization of Untrusted Data vulnerability in AivahThemes Hostme v2 hostmev2 allows Object Injection.This issue affects Hostme v2: from n/a through 7.0.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web audit@patchstack.com
- web nvd.nist.gov
- web github.com