WP Duplicateに悪用確認の脆弱性、修正版なし
WordPressプラグインのWP Duplicate 1.1.11以前に、外部からサーバーへファイルを書き込まれてコードを実行される脆弱性があり、実際の悪用も確認されています。修正版は確認されていないため、入れているサイトは削除し、侵害の跡を調べてください。
急ぎ度: 至急
実際の攻撃での悪用が確認され、CVSS v3は9.8、しかも修正版が確認されていないため、公開後すぐの対応が必要です。
関係があるか
WP Duplicateを入れているWordPressサイトが対象です。1.1.11以前であれば、サイトの規模や用途にかかわらず影響を受けます。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| WP Duplicate（WordPressプラグイン。WPScanではlocal-syncの名で分類） | 1.1.11以前のすべての版 | 修正版は確認されていません |
確かめ方
- 1WordPressの管理画面でプラグイン一覧を開き、WP Duplicateが入っているか、版が1.1.11以下かを見ます。
- 2WP-CLIが使える環境では、次のコマンドで一覧を出せます。複数のサイトを預かっている場合は、全サイトで実行してください。
- 3
wp plugin list --fields=name,status,version | grep -i -E "duplicate|local-sync" - 4ディレクトリ名がlocal-syncになっている場合があります。名前が違っても、WP Duplicateとして入っていれば対象です。
何が起きたか
WordPressプラグインのWP Duplicateの1.1.11以前に、第三者がサーバーに任意のファイルを置き、そのままサーバー上でコードを実行できてしまう脆弱性が見つかりました。WPScanは2026年11月6日に情報を公開し、CVEの記録は11月9日付です。
この脆弱性は、すでに実際の攻撃で悪用されています。
原因は二つあります。リクエストに付く認証用の値を正しく検証していないこと、そしてアップロードされるファイルの保存先と種類を確認していないことです。分類はCWE-434（危険な種類のファイルの無制限アップロード）で、CVSS v3は9.8です。WPScanの題には「認証バイパス経由の認証なし任意ファイルアップロード」とあります。
攻撃の流れ
-
1
認証値の検証不備
プラグインがリクエストの認証用の値を正しく検証せず、本来は通らないはずの要求が受け付けられます。
-
2
ファイルを書き込む
保存先も種類も確認されないため、任意のファイルがサーバー上に置かれます。
-
3
コードが動く
置かれたファイルがWebサーバー上で実行され、遠隔からのコード実行に至ります。
-
4
サイトを掌握される
データの読み取りや改ざん、サイトの停止など、サーバーを自由に扱われる状態になります。
どう悪用されるか
悪用にログインは要りません。ネットワーク経由で、特別な条件や利用者の操作なしに成立します。CVSSのベクターでも、ネットワークから攻撃でき（AV:N）、複雑さは低く（AC:L）、権限も利用者の操作も不要（PR:N・UI:N）とされています。
成功すると、機密性・完全性・可用性のすべてが高い影響を受けます。サイトの情報が読まれ、内容が書き換えられ、サイトが止められる恐れがあります。同じサーバーに別のサイトや社内の仕組みがある場合は、そちらへ広がることも考えられます。
今すぐやること
-
1
WP Duplicateが入っているか洗い出す
自社で運用するWordPressと、制作会社や委託先が管理するサイトを含め、全サイトのプラグイン一覧を確認します。版が1.1.11以下なら対象です。
wp plugin list --fields=name,status,version -
2
プラグインを削除する
修正版が確認されていないため、更新では直せません。無効化にとどめず、プラグインのファイルごと削除します。サイトの運用でどうしても使う機能なら、代わりの手段に切り替えます。
-
3
侵害の跡を調べる
悪用はすでに確認されているので、削除しただけで済ませず、書き込まれたファイルが残っていないかを調べます。uploadsなど、本来はPHPファイルが置かれない場所の.phpファイルや、最近作られた見覚えのないファイル、身に覚えのない管理者アカウントが手がかりです。
find wp-content/uploads -name "*.php" -
4
侵害が見つかったら復旧と鍵の入れ替え
不審なファイルやアカウントがあれば、公開を止めたうえで、侵入前の状態のバックアップから復旧します。管理者のパスワード、データベースの接続情報、wp-configの秘密鍵類は入れ替えます。
-
5
修正版の告知を確かめる
プラグインの提供元の告知と、WPScanの該当ページを定期的に確認します。修正版が出るまでは、WP Duplicateを使わない運用を続けます。
修正版がないあいだのつなぎ
修正版がないため、実質的な対策はプラグインの削除です。すぐに削除できない場合のつなぎとして、WAFやWebサーバーの設定で、プラグインのディレクトリ配下へのリクエストを遮断します。ただし、これで悪用を完全に防げるとは限らないので、削除までの短い期間に限ってください。
背景
WordPressのプラグインは、サイトを動かすPHPのコードとして、Webサーバーと同じ権限で動きます。アップロード機能で保存先やファイルの種類を確認していないと、画像や設定ファイルの代わりに実行できるファイルを置かれ、そのままサイトの乗っ取りにつながります。WPScanの関連項目にも、Multi Purpose Mail FormやFediverse Embeds、Product Website Showcaseなど、認証なしで任意のファイルをアップロードできるプラグインの脆弱性が並んでいます。
今回の件は、WPScanにMike Gozdiskowski氏の報告として登録され、検証済みと記されています。同じページには「No known fix」と出ています。報告から悪用までの間隔が短く、修正版が間に合っていない形です。
よくある質問
Q.修正版が出たら、WP Duplicateをまた使ってよいですか。
Q.プラグインを無効にしているだけでも対象ですか。
まだ分かっていないこと
- プラグインの提供元からの公式な告知と、修正版の公開予定は公表されていません。
- 実際に確認された攻撃の規模や時期、攻撃元は公表されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| CVE の記録WP Duplicate |
1.1.11 以前→ 記載なし |
記載なし |
この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
The WP Duplicate WordPress plugin through 1.1.11 does not properly verify a request authentication value and does not validate the path or type of uploaded files, making it possible for unauthenticated attackers to write arbitrary files to the server and achieve remote code execution. This vulnerability is being actively exploited in the wild.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web contact@wpscan.com
- web nvd.nist.gov
- web wpscan.com
- web github.com