WordPressテーマRhodosに重大な脆弱性、1.3.3以前が対象
axiomthemes が提供する WordPress 用テーマ「Rhodos」の 1.3.3 以前に、信頼できないデータを復元する際の不備があり、PHP オブジェクトインジェクションが起こり得ます。認証なしでネットワーク越しに悪用できる想定で、CVSS は 9.8 の「重大」です。Rhodos を使うサイトの管理者は、版の確認とベンダーの告知の確認を早めに進めてください。
急ぎ度: 早めに
認証不要でネットワークから狙えるCVSS 9.8の脆弱性ですが、実際の悪用の確認や修正版の版番号は公表されておらず、まず該当の有無と対応状況の確認を急ぐ段階です。
関係があるか
WordPressのテーマとしてRhodos(axiomthemes)を導入している企業サイトやキャンペーンサイトが対象です。制作会社に任せているサイトや、使っていないのに残っているテーマも確認の対象になります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| axiomthemes Rhodos(WordPress テーマ) | 1.3.3以前（1.3.3を含む） | 公表されていません。ベンダーまたはPatchstackの告知で確認してください |
確かめ方
- 1WordPress管理画面の「外観」→「テーマ」で、Rhodosがインストールされているか、その版が1.3.3以前かを確認します。有効化していないテーマも一覧に出ます。
- 2サーバーに入れる場合は
wp-content/themes/の下にrhodosディレクトリがないかを確認し、あればstyle.cssのVersion行を見ます。 - 3WP-CLIが使える環境では、次のコマンドでインストール済みのテーマと版を確認できます。
- 4制作会社や保守業者に任せているサイトは、Rhodosを使っているかどうかを問い合わせます。
何が起きたか
WordPress用テーマ「Rhodos」に、外部から受け取ったデータを十分に確かめないままプログラムの内部で使えるオブジェクトに復元してしまう弱点が見つかりました。この種類の弱点は「信頼できないデータのデシリアライズ」と呼ばれ、今回はPHPオブジェクトインジェクションとして整理されています。影響を受けるのは1.3.3以前です。情報は2026年10月23日に公表されました。
攻撃者が細工したデータを送ると、サイト側のプログラムが意図しないオブジェクトを作ってしまいます。その結果、サイトの動作を乗っ取られたり、情報を盗まれたり、改ざんや停止につながったりするおそれがあります。CVSSの評価では、機密性・完全性・可用性のすべてで影響が「高」とされています。
識別子はCWE-502です。実際にどこまで被害が広がるかは、同じサイトに入っている他のプラグインやテーマの構成にも左右されると一般に言われています。ただ、Rhodosの場合にどのような被害が起こり得るかの詳しい説明は、現時点で明らかになっていません。
攻撃の流れ
-
1
対象サイトの特定
攻撃者がRhodos 1.3.3以前を使っているWordPressサイトを見つけます。
-
2
細工データの送信
認証なしで、ネットワーク越しにサイトへ細工したデータを送ります。
-
3
不正な復元
テーマ側が受け取ったデータを検証せずにオブジェクトへ復元します。
-
4
意図しない動作
サイトのプログラムが想定外の処理を実行します。
-
5
被害の発生
情報の漏えい、改ざん、サイトの停止などにつながるおそれがあります。
どう悪用されるか
CVSSのベクターは AV:N/AC:L/PR:N/UI:N で、インターネット側から、特別な条件なしに、ログインなしで、利用者の操作も要らずに悪用できる想定です。公開されているWordPressサイトであれば、外部から直接狙われる可能性があります。
悪用に成功した場合の想定被害は、サイト内の情報の漏えい、ページの改ざん、サイトの停止などです。ただ、具体的にどの被害が起こるかは、サイトの構成によって変わる可能性があります。
現時点では、この脆弱性が実際の攻撃で悪用されたという公表や、米国CISAのKEV（悪用が確認された脆弱性の一覧）への掲載、悪用の見込みを示すEPSSの値は確認できていません。ただし、認証なしで狙える点を踏まえ、公開サイトでは悪用の確認を待たずに対応を進めるのが妥当です。
今すぐやること
-
1
Rhodosを使っているか洗い出す
自社や取引先が管理するWordPressサイトを一覧にし、Rhodosの導入有無と版を確認します。有効化していないテーマも対象です。
wp theme list -
2
版を確かめる
Rhodosが入っていれば、版が1.3.3以前かどうかを確認します。
wp theme get rhodos --field=version -
3
ベンダーの告知で修正版を確認する
修正版の有無と版番号は公表されていません。axiomthemesの配布元と、下記のPatchstackのページで最新の状況を確認し、修正版が出ていれば速やかに更新します。更新前にはサイトとデータベースのバックアップを取ります。
-
4
修正版がない間は影響を減らす
使っていないRhodosは削除します。使っている場合は、別のテーマへの切り替えを検討します。切り替えが難しければ、下記の回避策を組み合わせます。
-
5
不審な兆候がないか確認する
アクセスログやエラーログに不自然な大量のリクエストがないか、知らない管理者アカウントや見覚えのないファイルがないかを点検します。
すぐ更新できないとき
修正版が出るまでの間は、次の対策で影響を小さくできる可能性があります。ただし、いずれも根本的な解決ではありません。
- 使っていないRhodosは、無効化するだけでなくサーバーから削除する
- 別のテーマへ切り替える
- WAF（Webアプリケーションファイアウォール）を使っている場合は、ベンダーが提供するルールの有無を確認する
- 定期的にバックアップを取り、すぐ戻せる状態にしておく
背景
WordPressのテーマは、サイトの見た目だけでなく、PHPのプログラムとしてサーバー上で動く部品でもあります。そのため、テーマに弱点があると、サイトの外観の問題にとどまらず、サーバー上の処理に影響が及ぶことがあります。テーマやプラグインは作り手がそれぞれ異なるため、本体を更新しても、導入している部品に弱点が残ることがあります。
デシリアライズの不備は、PHPをはじめ多くの言語で繰り返し問題になってきた種類の弱点です。外部から来たデータを、確かめないままプログラム内部の部品に戻してしまうと、作った側が想定しない動きを引き起こされるおそれがあります。たとえるなら、宛名と中身を確かめずに、届いた荷物をそのまま社内の作業台で開けてしまうようなものです。
よくある質問
Q.Rhodosを入れているだけで、有効化していなくても危険ですか。
Q.修正版はもう出ていますか。
Q.すでに攻撃は起きていますか。
まだ分かっていないこと
- 修正版の有無と、直った版の番号は公表されていません。
- 実際の攻撃での悪用が確認されているかどうかは公表されていません。
- 具体的にどの操作や機能から細工データを受け取るのか、悪用によってどのような被害が起きるのかは、詳しく説明されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| axiomthemes | Rhodos |
1.3.3 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Deserialization of Untrusted Data vulnerability in axiomthemes Rhodos rhodos allows Object Injection.This issue affects Rhodos: from n/a through 1.3.3.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web audit@patchstack.com
- web nvd.nist.gov
- web github.com