WHIZZに管理者乗っ取りの脆弱性、修正版は未確認
WordPressプラグインWHIZZの1.1.8以前に、認証なしで任意ユーザーのパスワードを書き換えられる脆弱性があります。修正版は確認されていないため、使っているサイトはプラグインを無効化し、管理者アカウントに異常がないか調べてください。
急ぎ度: 至急
CVSS v3は9.8で、認証なしに管理者アカウントまで奪われる脆弱性なのに、修正版が確認されていないためです。
関係があるか
WHIZZを有効にしているWordPressサイトが対象です。複数のサイトを預かる制作会社やホスティング事業者は、顧客サイトにも入っていないかを確認してください。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| WHIZZ（WordPressプラグイン） | 1.1.8まで（1.1.8を含む） | 修正版は確認されていません。WPScanは「No known fix」としています |
確かめ方
- 1WordPressの管理画面でプラグイン一覧を開き、WHIZZが入っているか、版が1.1.8以下かを見ます。無効の状態でも、削除するまではサイトに残っています。
- 2WP-CLIが使える環境では、次のコマンドで有効かどうかと版を確認できます。
- 3複数サイトを運用している場合は、サイトごとに同じ確認をします。
何が起きたか
WHIZZの1.1.8以前では、パスワード再設定の本人確認が働きません。第三者が、管理者を含む任意のユーザーのパスワードを書き換えて、アカウントを乗っ取れます。
このプラグインは、パスワードを更新する前に再設定キーを検証していません。代わりに頼っているのがnonceですが、このnonceはログインしていない訪問者にも見える状態になっています。分類はCWE-269で、CVSS v3は9.8です。
WPScanは2026年11月3日にこの脆弱性を掲載し、CVEの公表は11月6日です。WPScanの掲載には、既知の修正版がないと書かれています。
攻撃の流れ
-
1
nonceの入手
ログインしていない訪問者にも見えるnonceを、攻撃者が手に入れます。
-
2
再設定要求
再設定キーを持たないまま、狙ったユーザーのパスワード更新を求めます。
-
3
パスワード変更
プラグインがキーを検証せず、パスワードが攻撃者の指定した値に変わります。
-
4
管理者でログイン
新しいパスワードでログインし、サイトを自由に操作します。
どう悪用されるか
認証は要りません。ネットワーク越しに実行でき、攻撃の難易度は低く、被害者側の操作も不要です。CVSSのベクターが示す条件はこのとおりで、WHIZZが有効なサイトがインターネットから見えていれば、その時点で条件がそろいます。
成功すると、管理者を含む任意のユーザーのアカウントを乗っ取られます。機密性・完全性・可用性への影響はいずれも高く評価されています。管理者に入られた場合は、投稿や設定の改ざん、別のプラグインやコードの追加、ほかのユーザー情報の閲覧まで想定してください。
今すぐやること
-
1
WHIZZの有無と版を確認する
管理画面かWP-CLIで、WHIZZが入っているか、有効か、版はいくつかを確認します。複数サイトがある場合は全サイトを調べます。
wp plugin get whizz --fields=name,status,version -
2
WHIZZを無効化し、使わないなら削除する
修正版が確認されていないため、更新で解消する手段がありません。業務上の必要がなければ、すぐ無効化して削除します。必要な場合は、代わりの手段を検討したうえで、移行までのあいだは下の回避策で露出を絞ります。
-
3
管理者アカウントとログインの跡を調べる
身に覚えのない管理者ユーザーが増えていないか、最近パスワードが変わったユーザーがいないか、見覚えのない時間帯のログインがないかを確認します。公表から日が浅くても、WPScanの掲載は11月3日なので、その前後のログを見ます。
-
4
異常があれば全管理者のパスワードを変え、ログイン中のセッションを破棄する
乗っ取りの疑いがある場合は、管理者と編集権限を持つユーザーのパスワードを変更し、ログイン中のセッションをすべて破棄します。そのうえで、不審なプラグインやファイルが追加されていないかも点検します。
-
5
開発元の告知で修正版の有無を確かめる
WordPress.orgのプラグインページや開発元の案内で、修正版が出ていないかを定期的に見ます。修正版が出たら、適用する前にバックアップを取ります。
修正版がないあいだのつなぎ
無効化も削除もできないあいだは、サイトへの到達経路を絞ります。WAFやリバースプロキシで、パスワード再設定に関わるリクエストを遮断するか、管理者が使うIPアドレスだけに公開範囲を限定します。ただし、これは一時的なつなぎで、脆弱性そのものは残ります。
背景
WordPressのパスワード再設定は、メールで本人に届く再設定キーを持っていることを本人確認としています。nonceは、別のサイトから意図しない操作をさせられる攻撃を防ぐための値で、本人確認の代わりにはなりません。WHIZZはそのnonceだけで更新を通してしまい、しかもnonceがログイン前の訪問者に見えていたため、本人確認が実質なくなっています。
WPScanの同じページには、ほかのプラグインで見つかった認証なしの権限昇格も関連項目として並んでいます。プラグインに入れた独自の再設定やログインの処理が、権限の確認を通らない例は、WordPressの運用で確認しておく価値があります。
よくある質問
Q.管理者のパスワードを強いものに変えれば防げますか。
まだ分かっていないこと
- 開発元が修正版を出す予定があるかは、示されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| CVE の記録WHIZZ |
1.1.8 以前→ 記載なし |
記載なし |
この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
The WHIZZ WordPress plugin through 1.1.8 does not validate the password-reset key before updating a user's password, relying only on a nonce that is exposed to unauthenticated visitors, allowing attackers to set an arbitrary password for any user, including administrators, and fully take over their accounts.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web contact@wpscan.com
- web nvd.nist.gov
- web wpscan.com
- web github.com