Somatic Frameworkに任意ファイル削除の脆弱性、修正版なし
WordPressプラグインSomatic Frameworkに、購読者などの低い権限のログインだけでサーバー上のファイルを消せる脆弱性があります。修正版は確認されていないため、導入サイトはプラグインを止め、バックアップと不審なアカウントを点検してください。
急ぎ度: 早めに
CVSS v3は9.6で、低い権限のログインがあれば成立し、修正版も確認されていないため、実際の悪用が伝えられていなくても導入サイトは早めにプラグインを止める必要があります。
関係があるか
Somatic Frameworkを入れているWordPressサイトが対象です。購読者のような低い権限のアカウントを持つ利用者がいるサイトでは、そのアカウントから操作されるおそれがあります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Somatic Framework（WordPressプラグイン、スラッグはsomatic-framework） | 1.8.14以前のすべての版 | 修正版は確認されていません（WPScanは「No known fix」と表示） |
確かめ方
- 1WordPressの管理画面で、プラグインの一覧にSomatic Frameworkがあるか、版が1.8.14以前かを見ます。有効化していなくても、インストールされていれば対象として扱います。
- 2コマンドが使える環境では、
wp plugin get somatic-framework --field=versionで版を確認できます。 - 3複数のサイトを預かっている場合は、各サイトの
wp-content/pluginsにsomatic-frameworkのフォルダーがないかも調べます。 - 4ユーザー一覧で、購読者などの低い権限のアカウントに身に覚えのないものがないかを確認します。
何が起きたか
Somatic Frameworkは、ログインしている利用者であれば権限が最も低い購読者でも、サーバー上の任意のファイルを削除できてしまう脆弱性を抱えています。
原因は、ファイルを削除する処理が、操作した人の権限を確認せず、利用者が指定したファイルの場所が妥当かどうかも検証しないことです。分類はCWE-73で、CVSS v3は9.6、重大度はcriticalです。
開発元の記録は、重要なファイルを消されるとサイト全体の乗っ取りにつながりうると説明しています。WPScanは、この脆弱性を検証済みとして2026年11月9日に掲載しました。
攻撃の流れ
-
1
低権限でログイン
購読者など権限の低いアカウントでサイトにログインします。
-
2
削除の要求を送る
プラグインの削除機能に、消したいファイルの場所を指定して要求します。
-
3
検証なしで実行
権限の確認も場所の検証もないまま、指定されたファイルが削除されます。
-
4
サイトが壊れる
重要なファイルが消えると、サイトの停止や乗っ取りにつながります。
どう悪用されるか
ログインは必要ですが、権限は購読者のような最も低いもので足ります。ネットワーク越しに実行でき、攻撃の難しさは低く、管理者など他の利用者の操作も要りません。
被害は、サーバー上のファイルの削除です。サイトの改ざんや停止につながり、完全なサイト乗っ取りに至りうると説明されています。CVSSの評価では、情報の漏えいは想定されておらず、データの完全性と可用性への影響が大きいとされています。
筆者は、誰でも会員登録できる設定のサイトが最も無防備だと見ています。登録するだけで条件の「ログイン済み」を満たせる可能性があるためです。
今すぐやること
-
1
Somatic Frameworkを使っているか確認する
管理画面かコマンドで、導入の有無と版を調べます。1.8.14以前であれば、以降の手順に進みます。
wp plugin get somatic-framework --field=version -
2
プラグインを無効化し、不要なら削除する
修正版がないため、版を上げて直すことはできません。サイトの機能に支障がなければ、無効化したうえで削除します。無効化だけで足りるかは示されていないので、削除まで行うのが確実です。
-
3
バックアップを取り、ファイルの欠落を点検する
作業の前に、サイトのファイルとデータベースのバックアップを取ります。そのうえで、設定ファイルなど本来あるはずのファイルが消えていないか、サイトが正常に動くか、ログに不審な削除の動きがないかを調べます。
-
4
低権限アカウントを見直す
購読者などのアカウントに、身に覚えのない登録がないかを確認します。不審なものがあれば無効にし、必要に応じてパスワードを変更させます。
-
5
開発元の告知とWPScanの掲載を見る
修正版の有無は、WordPressのプラグインのページとWPScanの該当ページで定期的に確認します。修正版が出たら、内容を確かめたうえで更新します。
修正版がないあいだのつなぎ
プラグインをすぐに外せない場合は、サイトの新規利用者登録を止め、使っていない低権限アカウントを削除します。これで、攻撃に使えるアカウントを増やさずに済みます。ただし、既存のアカウントから操作される余地は残るため、あくまで修正版が出るまでのつなぎです。
背景
任意ファイル削除は、情報を盗む脆弱性に比べて目立ちにくいものの、WordPressでは設定や保護に関わるファイルが消えるとサイトの動作や安全性が崩れます。しかも今回の脆弱性は、最も低い購読者権限で成立するとされています。管理者権限が要る脆弱性と違い、会員登録機能のあるサイトでは前提条件が低くなる点が厄介です。
WPScanの関連一覧には、AI ChatBotやSimple:Pressなど、購読者権限で任意のファイルを削除できるプラグインの脆弱性が並んでいます。WordPressのプラグインで、権限の確認と削除対象の検証の欠落が同じ形で繰り返し見つかっていることが分かります。なお、Somatic Frameworkの開発元は記録上「Unknown」とされています。
よくある質問
Q.プラグインを無効化しておくだけで安全ですか。
Q.修正版が出たかどうかは、どこで分かりますか。
まだ分かっていないこと
- 修正版の公開時期や、開発元の対応方針は公表されていません。
- 実際の攻撃での悪用が確認されたかどうかは、伝えられていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| CVE の記録Somatic Framework |
1.8.14 以前→ 記載なし |
記載なし |
この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
The Somatic Framework WordPress plugin through 1.8.14 does not perform an authorization check or validate a user-supplied file path before deleting it, allowing any authenticated user, such as a subscriber, to delete arbitrary files on the server, which can lead to a full site takeover.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web contact@wpscan.com
- web nvd.nist.gov
- web wpscan.com
- web github.com