Static Snapshotに認証不要のRCE脆弱性、修正版は未確認
WordPressプラグインStatic Snapshotの0.2.1以前に、ログインなしでサーバー上のコマンドを実行される脆弱性が見つかりました。修正版は確認されておらず、使っているサイトはプラグインを停止して削除し、侵害の跡を調べてください。
急ぎ度: 至急
認証不要のリモートコード実行でCVSS v3は9.8、しかも修正版が確認されていないため、該当サイトは更新ではなく削除で対応する必要があります。
関係があるか
Static SnapshotプラグインをインストールしているWordPressサイトが対象です。有効化していなくても、ファイルが残っている環境は確認の対象に含めてください。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Static Snapshot（WordPressプラグイン） | 0.2.1以前 | なし。WPScanは修正版が確認されていない（No known fix）としています |
確かめ方
- 1WordPressの管理画面で「プラグイン」の一覧を開き、Static Snapshotがないか確認します。
- 2WP-CLIを使える環境なら、
wp plugin listで導入済みのプラグインと版を一覧できます。 - 3サーバー上の
wp-content/pluginsにstatic-snapshotディレクトリが残っていないかも見ます。管理画面から消えていても、ファイルが残っている場合があります。 - 4制作会社や外部のホスティング事業者が管理しているサイトは、プラグインの導入有無を問い合わせます。
何が起きたか
Static Snapshotを入れたWordPressサイトで、サイト運営者が意図しないコマンドを、外部の第三者がサーバー上で実行できてしまう脆弱性が公表されました。
プラグインは、利用者から受け取った値をそのままつなげてOSのコマンドを組み立てており、シェルで特別な意味を持つ記号を無害化していません。WPScanの記録では、name パラメーターが入口とされています。分類はCWE-94、CVSS v3は9.8です。
WPScanは2026年11月3日に公開し、CVEの記録は11月6日に出ました。報告者はEnrico Marcolini氏、Claudio Marchesini氏、Dottor Marc氏で、WPScanは内容を検証済みとしています。
攻撃の流れ
-
1
対象を見つける
Static Snapshotが入ったWordPressサイトを、インターネット側から探します。
-
2
細工した値を送る
プラグインの `name` パラメーターに、シェルの記号を含む値を送ります。
-
3
コマンドが動く
値がそのままOSのコマンドに組み込まれ、サーバー上で実行されます。
-
4
サーバーを掌握
サイトの改ざん、情報の持ち出し、別の不正プログラムの設置へ進めます。
どう悪用されるか
ログインは要りません。ネットワーク経由で、複雑な準備なしに、利用者の操作も待たずに悪用できる条件です。CVSSのベクターでは、攻撃元区分がネットワーク、攻撃条件の複雑さが低、必要な権限なし、利用者の関与なしとされています。
悪用されると、Webサーバーを動かしているユーザーの権限で、任意のコマンドが実行されます。機密性・完全性・可用性のすべてに高い影響があると評価されており、サイトの改ざんやデータの閲覧、サービス停止が想定されます。同じサーバー上の別サイトや、サーバーから届く社内ネットワークへの足がかりにされる可能性もあります。
今すぐやること
-
1
導入の有無を確認する
管理画面とサーバー上のファイルの両方で、Static Snapshotが入っていないかを確認します。複数サイトを持つ組織は、全サイトを洗い出します。
wp plugin list -
2
プラグインを無効化して削除する
修正版が確認されていないため、更新では解決しません。無効化したうえで、プラグインのディレクトリごと削除します。サイト機能への影響は、別の手段への置き換えを含めて検討します。
-
3
侵害の跡を調べる
公表は2026年11月3日で、日が浅い状況です。それでも、削除前から入れていたサイトは、Webサーバーのアクセスログで該当プラグインへのリクエストを確認します。あわせて、見覚えのないファイル、作った覚えのない管理者ユーザー、不審な定期実行の設定がないかを見ます。
-
4
不審な点があれば資格情報を入れ替える
侵害が疑われる場合は、
wp-config.phpに書かれたデータベースのパスワード、管理者パスワード、サーバー上に置いたAPIキーを変更し、侵入前の状態のバックアップからの復旧を検討します。 -
5
開発元の告知を見守る
WPScanの該当ページとWordPressのプラグインディレクトリで、修正版が出たかを定期的に確認します。修正版が出ても、再導入は、その機能が本当に必要かを見直してから決めます。
修正版がないあいだのつなぎ
すぐに削除できない場合は、プラグインを無効化したうえで、Webサーバーの設定で wp-content/plugins/static-snapshot/ 配下へのアクセスを遮断します。WAFを使っているなら、このプラグインへのリクエストを止めるルールを入れるのも一時的なつなぎになります。ただし、いずれも削除の代わりにはなりません。
背景
WordPressのプラグインは、サイトと同じWebサーバー上で、同じ権限で動きます。そのためプラグインにコマンド実行の穴があると、サイトの管理画面を破られなくても、サーバーそのものを操作されます。wp-config.php にはデータベースの接続情報が入っているので、読み取られた時点で、サイトのデータ全体に手が届きます。
この脆弱性は、利用者の入力をOSのコマンドにそのまま連結していることが原因です。WPScanは、同じ分類に入る過去のプラグイン脆弱性も関連情報として並べており、バックアップ系プラグインの認証不要のコマンド実行なども含まれます。小規模なプラグインでも、保守が止まったものはこうした問題が長く残ります。今回も、修正版が確認されていない点が運用上の大きな負担になります。
よくある質問
Q.プラグインを無効化しただけで足りますか。
Q.修正版が出たら、また使ってよいですか。
まだ分かっていないこと
- 開発元が修正版を出す予定や、対応方針は示されていません。CVEの記録では、ベンダー名も不明とされています。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| CVE | Static Snapshot |
0.2.1 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
The Static Snapshot WordPress plugin through 0.2.1 does not sanitise shell metacharacters in a user-supplied value before concatenating it into operating-system commands run by the server, allowing unauthenticated attackers to execute arbitrary commands on the host.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web contact@wpscan.com
- web nvd.nist.gov
- web wpscan.com
- web github.com