WordPressテーマRexCoinに深刻な脆弱性、修正版は未確認
WordPressのテーマRexCoin 1.2.6以前に、ログイン不要で悪用できるPHP Object Injectionの脆弱性が見つかりました。このテーマを使うサイトの運営者が対象で、まず版を確認し、修正版が出ていなければ別テーマへの切り替えか削除を検討してください。
急ぎ度: 早めに
CVSS v3は9.8で認証も利用者の操作も要りませんが、悪用の確認を示す情報はなく、修正版の有無も確認できていないため、至急ではなく早めの対応と見ています。
関係があるか
WordPressでThemeRExのRexCoinテーマを使っている、または導入したままにしているサイトが対象です。外部に公開しているサイトは、とくに優先して確認してください。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| RexCoin（ThemeREX） | 1.2.6以下 | 未確認（ベンダーの告知で確認が必要） |
確かめ方
- 1WordPressの管理画面で「外観」の「テーマ」を開き、RexCoinが入っているか、版がいくつかを見ます。
- 2子テーマを使っている場合は、親テーマがRexCoinかどうかと、親テーマの版を確認します。
- 3WP-CLIが使えるなら、
wp theme listで導入済みテーマと版を一覧できます。有効化していないテーマも表示されます。 - 4複数のサイトを預かっている場合は、すべてのWordPress環境で同じ確認をします。
何が起きたか
WordPressテーマのRexCoin 1.2.6以前に、PHP Object Injectionの脆弱性があります。悪用されると、サイト内の情報の読み取りや改ざん、サイトの停止につながるおそれがあります。
外部から受け取ったデータを、PHPのオブジェクトに戻す処理で十分な検証をしていないことが原因です。分類はCWE-502（信頼できないデータのデシリアライズ）です。
Patchstackのデータベースが2026年10月29日に公開しました。
攻撃の流れ
-
1
外部から到達
ログインしていない第三者が、インターネット越しにRexCoinを使うサイトへデータを送ります。
-
2
オブジェクト復元
テーマが受け取ったデータを検証しないまま、PHPのオブジェクトに戻します。
-
3
既存コードの悪用
サイト上にある別のコードの動きに、攻撃者が意図したオブジェクトが影響を与えます。
-
4
サイトへの被害
情報の読み取り、改ざん、停止といった被害につながる可能性があります。
どう悪用されるか
悪用に認証は要りません。ネットワーク越しに送るだけで、攻撃の複雑さは低く、サイトの管理者や訪問者の操作も必要ありません。インターネットに公開しているサイトなら、外部からそのまま狙える位置にあります。
被害の大きさは、CVSSのベクトルでは機密性・完全性・可用性のすべてが高です。ただしPHP Object Injectionは、同じサイトに入っているテーマやプラグインのコード次第で、実際の被害が変わる種類の脆弱性です。自社のサイトでどこまで及ぶかは、環境ごとに違います。
今すぐやること
-
1
RexCoinの有無と版を確認する
管理しているWordPressをすべて洗い出し、RexCoinが1.2.6以下で入っていないかを確認します。
wp theme list -
2
修正版の有無を確認して更新する
ThemeRExの告知とPatchstackのページで、修正版が出ているかを確認します。修正版があれば、バックアップを取ってから更新し、表示と主要な機能を点検します。
-
3
修正版がなければ使用をやめる
修正版が出ていない間は、別のテーマへの切り替えか、RexCoinの無効化と削除を進めます。切り替え前に、ステージング環境でレイアウトの崩れを確認してください。
-
4
不審な痕跡がないか見る
公開日以降のアクセスログとWordPressのファイルを見て、見覚えのないリクエストや、更新した覚えのないファイル、作った覚えのない管理者アカウントがないかを確認します。
すぐ更新できないとき
修正版がすぐに当てられないときは、RexCoinから別のテーマに切り替えるか、テーマを削除して外部から到達できないようにします。切り替えが難しければ、サイトを一時的に非公開にするか、アクセス元を限定します。WAFでの遮断は補助的な手段にとどめ、これだけで防げるとは考えないでください。
背景
WordPressのテーマは見た目を決めるだけでなく、サイトの中でPHPのコードを動かす部品です。有料テーマや販売サイト経由のテーマは、管理画面の自動更新の対象にならないことがあり、導入時の版のまま残りやすい面があります。RexCoinもその一つで、公開後に版を見直していないサイトは確認が必要です。
PHP Object Injectionは、外部から来たデータをPHPのオブジェクトに戻す処理に起因します。WordPressのプラグインやテーマでは、こうした処理が見つかると、サイトに入っている他のコードの性質によって被害が変わるため、深刻度の見積もりが難しい脆弱性とされています。
よくある質問
Q.RexCoinを有効化していなくても、入っているだけで影響はありますか。
Q.子テーマを使っていて、親テーマがRexCoinです。対象ですか。
まだ分かっていないこと
- 修正版の版番号と公開時期は確認できていません。ThemeRExの告知とPatchstackのページで確認してください。
- 実際の攻撃での悪用が確認されているか、攻撃コードが出回っているかは分かっていません。
- どの条件でどこまでの被害に至るか、具体的な影響範囲は公表されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| ThemeREX | RexCoin |
1.2.6 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Unauthenticated PHP Object Injection in RexCoin <= 1.2.6 versions.
出典: CVE.org (CVE Program・cvelistV5) NVD