Radius Bookingに重大な脆弱性、修正版1.0.21あり
WordPressの予約プラグインRadius Bookingの1.0.20以前に、サーバー上で不正な処理を実行されるおそれのある脆弱性が公表されました。該当するサイトは、修正版の1.0.21以降へ更新してください。
急ぎ度: 早めに
CVSS v3は9.8で、修正版の1.0.21が出ており、Patchstackも大規模な攻撃に使われる見込みだと評価しているため、該当サイトは早めに更新する必要があります。
関係があるか
WordPressでRadius Booking（Booking Calendar for Appointments & Services）を入れているサイトが対象です。予約受付に使う企業サイトや店舗サイトが当てはまります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Radius Booking、Booking Calendar for Appointments & Services（プラグイン名radius-booking） | 1.0.20以前 | 1.0.21 |
確かめ方
- 1WordPressの管理画面でプラグインの一覧を開き、Radius Bookingの版が1.0.20以前でないかを見ます。
- 2WP-CLIを使えるなら、次のコマンドで版を確認できます。複数サイトを運用している場合は、すべてのサイトで確認します。
- 3
wp plugin get radius-booking --field=version - 4制作会社やホスティング事業者に運用を任せている場合は、このプラグインを入れていないかを問い合わせます。
何が起きたか
WordPress用の予約プラグインRadius Bookingに、サイトのサーバー上で不正な処理を実行されるおそれのある脆弱性が公表されました。
原因は、外部から受け取ったデータをPHPのオブジェクトに復元する処理の扱いです。CWEはCWE-502（信頼できないデータのデシリアライズ）で、Patchstackは分類をPHP Object Injectionとしています。
CVSS v3は9.8、Patchstackの優先度はHighです。Patchstackによると、発見者はhhhaiで、報告は2026年10月17日、同社の公開は11月4日でした。修正版は1.0.21です。
攻撃の流れ
-
1
対象サイトの探索
脆弱な版のプラグインを入れたサイトを、広く探します。
-
2
細工データの送信
ログインなしで、サイトに不正な形のデータを送ります。
-
3
オブジェクトの復元
プラグインがそのデータを十分に検証しないまま、PHPのオブジェクトに戻します。
-
4
サーバー上で実行
条件がそろうと、サーバー上で不正な処理が動きます。
どう悪用されるか
悪用にログインは要りません。ネットワーク越しに、利用者の操作もなく試せる脆弱性で、攻撃の複雑さは低いと評価されています。
Patchstackは、この種の脆弱性は大規模な攻撃で使われやすいと説明しています。サイトの規模や知名度に関係なく、数千のサイトが同時に狙われうるということです。
悪用されると、サーバー上で不正な処理を動かされます。CVSSでは機密性・完全性・可用性のいずれも影響が大きいと評価されており、情報の漏えい、サイトの改ざん、停止が想定されます。
今すぐやること
-
1
入れている版を確認する
管理画面かWP-CLIで、Radius Bookingの版を調べます。管理しているサイトをすべて対象にし、検証用や古いサイトも見落とさないようにします。
wp plugin get radius-booking --field=version -
2
1.0.21以降へ更新する
1.0.20以前なら、修正版の1.0.21以降に更新します。本番へ反映する前に予約フォームの動作を検証環境で確かめたい場合でも、確認を長引かせず、早めに適用します。
-
3
使っていなければ削除する
予約機能をすでに使っていないのに入れたままのサイトは、更新するよりプラグインごと削除するほうが、守る対象を減らせます。
-
4
更新前の状況を見ておく
公表されて間もない脆弱性ですが、更新前に不審な動きがなかったか、Webサーバーのアクセスログや、見覚えのない管理者アカウント・ファイルがないかを確認しておくと安心です。
すぐ更新できないとき
すぐに更新できないときは、更新できるまでRadius Bookingを停止し、予約の受付を別の手段に切り替えます。Patchstackは、修正版を適用するまで攻撃を防ぐ緩和ルールを提供しています。ただしこれは同社のサービスを使っている場合のつなぎです。更新が難しいときは、ホスティング事業者や制作会社に相談します。
背景
Radius Bookingは、WordPressのサイトにカレンダー形式の予約受付を加えるプラグインです。予約フォームは来訪者からデータを受け取る窓口になるため、サイトの外に開かれた部分に、入力を処理するコードが置かれます。
PHPには、保存や送受信のために文字列にしたデータを、元のオブジェクトに戻す機能があります。信頼できないデータをそのまま戻すと、アプリケーションが想定しないオブジェクトを作られてしまうため、この処理はPHPの世界では古くから注意が呼びかけられてきました。実際にどこまで被害が及ぶかは、サイトに読み込まれているほかのコードにも左右されることが多く、WordPressではプラグインごとに事情が異なります。
よくある質問
Q.個人ブログや小さな店舗サイトでも対象になりますか。
Q.予約機能を使っていない場合も更新が必要ですか。
まだ分かっていないこと
- 悪用に必要な追加の条件や、実際に及ぶ被害の範囲は、公表された記述からは分かりません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| Mamunur Rashid | Radius Booking — Booking Calendar for Appointments & Services |
1.0.20 以前 |
1.0.21 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Deserialization of Untrusted Data vulnerability in Mamunur Rashid Radius Booking — Booking Calendar for Appointments & Services radius-booking allows Object Injection.This issue affects Radius Booking — Booking Calendar for Appointments & Services: from n/a through 1.0.20.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web patchstack.com
- web nvd.nist.gov
- web github.com