Hallelujahテーマに重大な欠陥、修正版は未確認
WordPress用テーマ「Hallelujah」の1.1.1以前に、信頼できないデータを不用意に復元することで起きる「PHP Object Injection」の脆弱性が見つかりました。CVSSは9.8(重大)で、ログインなしにネットワーク越しで悪用できる条件です。該当テーマを使っている場合は、まず版を確認し、修正版の有無をベンダーや Patchstack の情報で確かめてください。
急ぎ度: 早めに
認証不要でネットワークから悪用できる重大な欠陥ですが、実際の攻撃での悪用は現時点で明らかになっておらず、修正版の情報も確認できていないため、まず該当有無の確認と暫定対策を急ぐ段階です。
関係があるか
テーマ「Hallelujah」（提供元: axiomthemes）の1.1.1以前をWordPressサイトで使っている組織が対象です。コーポレートサイトや採用サイトなど、外部に公開しているWordPressが主に該当します。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| axiomthemes Hallelujah(WordPress テーマ) | 1.1.1以前（下限の版は公表されていません） | 公表されていません。ベンダーの告知やPatchstackの情報で確認してください |
確かめ方
- 1WordPressの管理画面で「外観」の「テーマ」を開き、Hallelujahがインストールされているか、版はいくつかを確認します。
- 2有効化していないテーマでもファイルがサーバー上に残っていれば確認の対象です。インストール済みの一覧をすべて見てください。
- 3WP-CLIが使える環境では、
wp theme list --fields=name,status,versionで一覧と版を確認できます。 - 4制作会社やホスティング事業者に任せている場合は、使用テーマと版を問い合わせてください。子テーマ（child theme）の親がHallelujahになっていないかも確認します。
何が起きたか
WordPress用の有料・市販系テーマ「Hallelujah」に、PHP Object Injectionと呼ばれる脆弱性が見つかりました。外部から送られたデータを十分に確かめないままプログラムの内部オブジェクトに戻してしまう作りが原因です。細工されたデータを受け取ると、サイト側のプログラムが意図しない動きをする可能性があります。
分類はCWE-502（信頼できないデータのデシリアライズ）です。CVSS v3.1の評価は9.8で、攻撃元区分はネットワーク、攻撃の複雑さは低、必要な権限なし、利用者の操作なしとされています。機密性・完全性・可用性のすべてに高い影響があると見積もられています。
この種の弱点では、実際にどこまで被害が広がるかは、同じサイトに入っている他のプラグインやテーマのコードの内容にも左右されるのが一般的です。ただ、評価上は情報の漏えい、改ざん、サイト停止のいずれも起こりうる深刻なものとして扱われています。具体的な入口や、影響を受ける機能の詳細は公表されていません。
攻撃の流れ
-
1
対象を探す
インターネットに公開されたWordPressサイトで、Hallelujahテーマが使われているものが狙われます。
-
2
細工データ送信
ログインなしで、テーマが受け付けるデータに不正な内容を紛れ込ませて送ります。
-
3
不正な復元
テーマが内容を確かめずにデータをオブジェクトとして復元してしまいます。
-
4
意図しない動作
サイト内の既存コードが想定外に動かされ、情報の取得、改ざん、停止などにつながる可能性があります。
どう悪用されるか
悪用にログインは不要で、利用者の操作も必要ありません。インターネットから該当サイトに到達できれば、条件上は攻撃できます。攻撃の難易度も低いと評価されています。
悪用された場合、サイトの内容の盗み見や書き換え、サイトの停止といった被害が想定されます。サイトにお問い合わせ内容や会員情報が保存されている場合は、その漏えいにも注意が必要です。ただし、実際の攻撃で悪用されたかどうかは現時点で明らかになっていません。
今すぐやること
-
1
使用の有無と版を確認する
管理画面またはWP-CLIでHallelujahの有無と版を確認します。有効化していないテーマも含めて、複数サイトを運用している場合は全サイトを調べてください。
wp theme list --fields=name,status,version -
2
修正版の有無を確認する
提供元axiomthemesの告知と、Patchstackの脆弱性データベースの記載を確認します。修正版が出ていれば、バックアップを取ったうえで更新してください。
-
3
修正版が無い場合は使用をやめる
修正版が確認できない場合は、別のテーマへの切り替えを検討します。使っていないなら無効化だけでなく、テーマのフォルダごと削除してください。
-
4
防御の層を足す
WAFを使っている場合は、PHPオブジェクトの復元を狙う通信への対策が有効になっているかをサービス提供元に確認します。
-
5
不審な兆候を点検する
公開日以降のアクセスログに不審な大量・異常なリクエストがないか、身に覚えのない管理者アカウントやファイルの変更がないかを確認します。異常があれば、パスワードや認証情報の変更も検討します。
すぐ更新できないとき
修正版を当てられない間は、Hallelujahから別のテーマへ切り替えるか、テーマを削除するのが確実です。すぐに切り替えられない場合は、WAFやホスティング事業者の保護機能で防御を強め、サイトのバックアップを取得しておいてください。サイトの公開を一時的に止められる場合は、その判断も選択肢になります。
背景
WordPressのテーマはサイトの見た目を決める部品ですが、中身はPHPのプログラムで、サイト本体と同じ権限で動きます。そのため、テーマやプラグインの欠陥は、サイト全体の安全性に直結します。提供元がWordPress本体とは別の事業者であることも多く、更新の頻度や体制は製品ごとに異なります。
PHPのデシリアライズ（保存されたデータをオブジェクトに戻す処理）に関する欠陥は、WordPressのテーマやプラグインでこれまで繰り返し報告されてきた種類の弱点です。外部から来たデータを復元する処理に十分な確認が無いと、リモートから悪用される危険が生じます。
よくある質問
Q.Hallelujahテーマを有効化していなければ影響はありませんか。
Q.すでに攻撃されているのでしょうか。
Q.修正版はありますか。
まだ分かっていないこと
- 修正版の有無と、直った版の番号は公表されていません。
- 実際の攻撃で悪用されたかどうかは、現時点で明らかになっていません。
- 影響を受ける具体的な機能や、被害の広がりを左右する条件の詳細は公表されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| axiomthemes | Hallelujah |
1.1.1 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Deserialization of Untrusted Data vulnerability in axiomthemes Hallelujah hallelujah allows Object Injection.This issue affects Hallelujah: from n/a through 1.1.1.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web audit@patchstack.com
- web nvd.nist.gov
- web github.com