WordPressのOzisti 1.1.10以前に重大な脆弱性、認証不要
WordPressテーマOzistiの1.1.10以前に、ログインなしで悪用できるPHPオブジェクトインジェクションの脆弱性が見つかりました。このテーマを使うWordPressサイトの運用者は、まず導入の有無と版を確認してください。修正版の情報はまだ確認できないため、提供元の告知を見ながら、テーマの入れ替えや削除も含めて検討する段階です。
急ぎ度: 早めに
CVSS v3は9.8で、認証なしにネットワーク越しで悪用できる条件がそろううえ、修正版の情報も示されていないため、早めに該当サイトを洗い出す必要があります。
関係があるか
WordPressでテーマOzistiを使っているサイトが対象です。企業の広報サイトや採用サイト、キャンペーンサイトなど、外部委託で作られたサイトにも入っていることがあります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Ozisti（WordPressテーマ、ThemeREX） | 1.1.10以前 | 修正版の版番号は示されていません。テーマの提供元とPatchstackの告知で確認してください。 |
確かめ方
- 1WordPressの管理画面で「外観」の「テーマ」を開き、Ozistiが入っているかと版を見ます。有効にしていないテーマも、削除するまでは念のため確認の対象に含めてください。
- 2サーバーにSSHで入れる場合は、WP-CLIで一覧を出すと複数サイトでも確認が早くなります。
- 3子テーマを使っている場合は、親テーマ側の版を見てください。
- 4制作会社や運用委託先が管理しているサイトは、テーマの一覧を提出してもらうよう依頼します。
何が起きたか
ThemeREXのWordPressテーマOzistiの1.1.10以前に、認証なしで悪用できるPHPオブジェクトインジェクションの脆弱性があります。悪用されると、サイトの情報が読まれる、内容が書き換えられる、サービスが止まるといった被害につながるおそれがあります。
分類はCWE-502で、外部から受け取ったデータをPHPのオブジェクトに戻す処理が安全でないために起きるタイプです。2026年10月29日にCVEが公開され、脆弱性情報サイトPatchstackのデータベースにも掲載されました。深刻度はcriticalで、CVSS v3は9.8です。
攻撃の流れ
-
1
対象サイトの探索
Ozistiを使っているWordPressサイトが、外部から探し出されます。
-
2
細工データの送信
ログインなしで、テーマの処理に細工したデータが送られます。
-
3
オブジェクトの復元
テーマが受け取ったデータを、安全確認なしにオブジェクトへ戻します。
-
4
サイトへの影響
同じサイトに入っているコード次第で、情報漏えい、改ざん、停止などが起こります。
どう悪用されるか
悪用にログインは要りません。ネットワーク越しに到達できれば成立し、複雑な前提条件もなく、サイト管理者や訪問者の操作も必要ありません。インターネットに公開しているサイトは、そのまま攻撃対象になり得ます。
被害の大きさは、CVSSの評価では機密性・完全性・可用性のすべてが高です。実際にどこまで及ぶかは、同じWordPressに入っているほかのテーマやプラグインのコードにも左右されます。そのため、被害が限定的で済むと決めつけず、最悪の場合を想定して確認するのが安全です。
今すぐやること
-
1
Ozistiの導入と版を洗い出す
自社と委託先のWordPressサイトで、Ozistiが入っているか、1.1.10以前かを確認します。管理画面で見られないときは、WP-CLIの一覧が使えます。
wp theme list -
2
提供元の告知で修正版を確認する
テーマの提供元とPatchstackの告知を見て、修正版が出ているかを確認します。出ていれば、テスト環境で動作を確かめたうえで本番を更新します。
-
3
修正版がなければ回避策を取る
修正版を当てられないサイトは、下記の回避策を検討します。サイトの重要度が高いものから順に進めてください。
-
4
更新前にバックアップを取る
テーマの更新や削除の前に、ファイルとデータベースのバックアップを取ります。戻せる状態にしてから作業します。
-
5
不審な痕跡を確認する
公開日以降のアクセスログに、見慣れないリクエストがないか確認します。身に覚えのない管理者アカウントや、更新した覚えのないファイルがないかも調べます。
すぐ更新できないとき
修正版がない間は、Ozistiを使わない状態にするのが最も確実です。別のテーマに切り替えたうえで、Ozistiのファイルをサーバーから削除します。見た目を保つ必要があって切り替えられない場合は、WAFで該当サイトへの不審なリクエストを制限し、アクセスログの監視を強めてください。WAFは完全な対策にならないため、修正版が出たらすぐ更新します。
背景
WordPressのテーマは、見た目を整えるだけでなく、サイトの権限で動くPHPのコードを含みます。そのため、テーマ側に脆弱性があると、サイト全体への影響を考える必要があります。Ozistiのような有償・テーマ販売元提供のテーマは、WordPress本体と更新の仕組みが別になっていることがあり、導入後に更新状況を確認していないサイトも少なくありません。
PHPオブジェクトインジェクションは、信頼できないデータを復元する処理（デシリアライズ）に起因するタイプです。WordPressのプラグインやテーマでも、これまで同じ型の脆弱性が報告されてきました。このタイプは、入力を受ける側の処理だけでなく、同じサイトに読み込まれているほかのコードの内容で被害の大きさが変わる点に特徴があります。
よくある質問
Q.WordPress本体や、Ozisti以外のテーマも影響を受けますか。
Q.Ozistiの子テーマを使っています。親テーマだけ直せばよいですか。
まだ分かっていないこと
- 修正版の有無と版番号は示されていません。Patchstackの告知とテーマ提供元の案内で確認してください。
- 実際の攻撃で悪用されたかどうかは分かっていません。
- 脆弱性がテーマのどの機能に存在し、どの入力が引き金になるかは詳しく示されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| ThemeREX | Ozisti |
1.1.10 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Unauthenticated PHP Object Injection in Ozisti <= 1.1.10 versions.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web patchstack.com
- web nvd.nist.gov
- web github.com