Royal Eventテーマに深刻な脆弱性、2.0以前が対象
WordPressテーマRoyal Eventの2.0以前に、ログイン不要で悪用できる深刻な脆弱性が見つかりました。使っているサイトは版を確認し、修正版が出ているかをベンダーの告知で調べてください。
急ぎ度: 早めに
CVSS v3は9.8で認証なしにネットワークから悪用でき、公表は2026年10月30日と直後で、修正版の有無は告知の確認が要るためです。
関係があるか
ThemeREX製のWordPressテーマRoyal Eventを、公開中のサイトや過去に作ったサイトで使っている組織が対象です。自社で作っていなくても、制作会社が納品したサイトに入っている場合があります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Royal Event（ThemeREX製のWordPressテーマ） | 2.0以前（<= 2.0） | 修正版の版番号は、ThemeRExとPatchstackの告知で確認してください |
確かめ方
- 1WordPressの管理画面で「外観」の「テーマ」を開き、Royal Eventが入っているか、版がいくつかを見ます。
- 2WP-CLIが使える環境では、
wp theme listで一覧を出し、royal-eventの行の版を確認します。 - 3子テーマを使っている場合は、親テーマ側にRoyal Eventが入っていないかも見ます。
- 4有効にしていないテーマも一覧に出ます。使っていないのに残っている場合は、その版も控えておきます。
何が起きたか
WordPressテーマRoyal Eventに、外部から受け取ったデータを十分に確かめないままPHPのオブジェクトに戻してしまう脆弱性があります。悪用されると、サイトの内容を盗まれる、書き換えられる、停止させられるといった被害につながります。
種類はCWE-502（信頼できないデータのデシリアライズ）で、一般にPHP Object Injectionと呼ばれます。CVSS v3は9.8で、機密性・完全性・可用性のすべてに高い影響が付いています。
対象は2.0以前の全ての版です。KEVへの掲載は確認していません。ただ、公表されたばかりで、修正版が出ているかを自分で調べる必要があります。
攻撃の流れ
-
1
対象サイトの特定
Royal Eventを使っているWordPressサイトが外部から探されます。
-
2
細工したデータの送信
ログインなしで、サイトに細工したデータが送られます。
-
3
オブジェクトの復元
テーマが受け取ったデータを検証せずにオブジェクトへ戻してしまいます。
-
4
サイトへの影響
サイトの構成によっては、情報の漏えい、改ざん、停止が起きます。
どう悪用されるか
ログインは不要です。ネットワーク越しに到達できれば悪用でき、手順は複雑ではなく、サイトの管理者や訪問者に何かを操作させる必要もありません。つまり、インターネットに公開しているサイトは、そのまま攻撃を受けうる状態です。
被害は、情報の読み取り、データやファイルの書き換え、サイトの停止まで広がりえます。この種の脆弱性は、同じサイトに入っている別のプラグインやテーマの構成によって、実際にどこまでできるかが変わります。ただ、その差を当てにして更新を後回しにするのは避けたいところです。
今すぐやること
-
1
使っているか、版はいくつかを確認する
管理画面かWP-CLIでRoyal Eventの有無と版を調べます。複数のサイトを運用しているなら、全サイトを洗い出します。
wp theme list -
2
ベンダーの告知で修正版を確認する
ThemeRExの告知とPatchstackの記録で、修正版の有無と版番号を調べます。修正版があれば、更新前にバックアップを取ってから適用します。
-
3
使っていないなら削除する
有効にしていないRoyal Eventが残っているなら、削除しておくと攻撃の入口が減ります。デザインを変えられる場合は、別のテーマへの切り替えも検討します。
-
4
改ざんや不審な動きの跡を調べる
身に覚えのない管理者アカウント、更新日時が不自然なファイル、アクセスログの異常なリクエストがないかを見ます。何か見つかったら、更新だけで済ませず、侵害を前提に調査します。
修正版がないあいだのつなぎ
修正版がまだ確認できない場合は、Royal Eventを使わない状態にするのが確実です。別のテーマに切り替えるか、サイトを一時的に非公開にします。切り替えが難しいときは、WAFを使っているなら、WAFの提供元にこの脆弱性への対応ルールがあるかを確認します。WAFだけで防げるとは限らないので、あくまで修正版が出るまでのつなぎにとどめます。
背景
WordPressのテーマは、見た目を整えるだけの部品ではありません。サイトを動かすPHPのコードを含み、WordPress本体と同じ権限で動きます。そのため、テーマに脆弱性があると、デザインの問題では済まず、サイト全体の問題になります。
PHP Object Injectionは、PHPがデータをオブジェクトに戻す仕組みを悪用する種類の脆弱性です。外部から来た値をそのまま戻す処理があると、送り手が復元されるオブジェクトの中身を左右できてしまいます。結果がどうなるかは、サイト内にどんなコードが読み込まれているかで変わるため、同じ脆弱性でも環境によって被害の大きさが違います。
よくある質問
Q.テーマを有効にしていなければ影響は受けませんか。
Q.制作会社に作ってもらったサイトは、どう確認すればよいですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| ThemeREX | Royal Event |
2.0 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Deserialization of Untrusted Data vulnerability in ThemeREX Royal Event allows Object Injection.
This issue affects Royal Event: from n/a through 2.0.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web patchstack.com
- web nvd.nist.gov
- web github.com