AjaxLoadMore Cacheに認証不要のRCE脆弱性、修正版は未確認
WordPressのプラグインAjaxLoadMore Cacheの3.1.1以前に、ログインなしでサーバー上のコードを実行されるおそれのある脆弱性が見つかりました。該当のプラグインを入れているサイトの管理者は、まず導入の有無と版を確認してください。修正版が確認できなければ、プラグインを無効化して様子を見る判断になります。
急ぎ度: 至急
CVSS v3が満点の10で、認証もユーザー操作も要らずネットワーク越しに悪用でき、修正版の公表も確認できていないためです。
関係があるか
AjaxLoadMore Cacheを入れた、インターネットに公開しているWordPressサイトが対象です。社内向けでも、外部から到達できる構成なら同じように扱ってください。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| AjaxLoadMore Cache（WordPressプラグイン） | 3.1.1以前 | 未確認（Patchstackの告知とプラグイン提供元の案内で確認してください） |
確かめ方
- 1WordPressの管理画面で、プラグイン一覧にAjaxLoadMore Cacheがあるかを見て、版が3.1.1以前かを確かめる。
- 2WP-CLIが使える環境では、次のコマンドで導入状況と版を一覧できる。
- 3複数サイトを預かっている場合は、サイトごと、ステージング環境も含めて確認する。無効化しているだけでも、ファイルが残っていれば削除まで済ませるのが安全。
何が起きたか
AjaxLoadMore Cacheに、外部の第三者がサーバー上で任意のコードを実行できてしまう脆弱性が見つかりました。対象は3.1.1以前の版で、攻撃に成功すればサイトの改ざんやデータの持ち出し、ほかの攻撃の踏み台化まで進む可能性があります。
この脆弱性は、入力がそのままプログラムのコードとして処理されてしまう型（CWE-94）に分類されています。脆弱性情報は2026年10月29日に公開され、Patchstackのデータベースに登録されています。
CVSS v3のベクターではスコープが「変更あり」とされており、プラグインの範囲を超えて、WordPress全体やサーバーの別の領域にまで影響が及ぶ可能性があります。
攻撃の流れ
-
1
サイトを探す
攻撃者がインターネット上で、AjaxLoadMore Cacheを使っているWordPressサイトを見つける。
-
2
リクエスト送信
ログインしないまま、サイトに細工したリクエストを送る。
-
3
コードが実行
入力がコードとして処理され、サーバー上で攻撃者の意図した処理が動く。
-
4
サイトを掌握
改ざん、情報の持ち出し、別の不正プログラムの設置などに進む。
どう悪用されるか
悪用にログインは要りません。ネットワーク越しに到達できれば、利用者に操作をさせる必要もなく、複雑な条件もありません。評価では、攻撃のしやすさは最も高い部類です。
コードの実行に成功すると、機密性・完全性・可用性のすべてに高い影響が出ると評価されています。サイトの内容を書き換えられる、データベースの接続情報や顧客情報を読まれる、サイトを停止させられる、といった被害が想定されます。同じサーバーに別のサイトがあれば、そちらにも波及するおそれがあります。
今すぐやること
-
1
導入の有無と版を確認する
管理画面かWP-CLIで、AjaxLoadMore Cacheが入っているか、版が3.1.1以前かを確かめます。複数サイトを運用しているなら、全サイトを洗い出してください。
wp plugin list --fields=name,status,version -
2
修正版の有無を確認して更新する
Patchstackの告知とプラグイン提供元の案内で、修正版が出ているかを確認します。出ていれば、バックアップを取ったうえで修正版に更新します。
-
3
修正版がなければ無効化して削除する
修正版が確認できない間は、プラグインを無効化し、不要ならファイルごと削除します。機能を止めると表示が変わる可能性があるので、先にテスト環境で確かめると安心です。
-
4
改ざんの痕跡を点検する
公開日以降のアクセスログで不審なリクエストがないか、見覚えのないファイルや管理者アカウントが増えていないかを確認します。疑わしい点があれば、WordPressの管理者パスワードとデータベースの接続情報を変更し、バックアップからの復旧も検討してください。
すぐ更新できないとき
修正版を当てられない間は、プラグインを無効化するのが最も確実です。すぐに止められない場合は、WAFでこのプラグインへの外部からのリクエストを制限し、サイトへの管理者以外の書き込み権限を絞って被害の範囲を狭めてください。ただし、攻撃の入口が特定できていないため、WAFだけで防げる保証はありません。
背景
Ajax Load Moreは、記事一覧を「もっと見る」ボタンやスクロールに合わせて追加で読み込ませるWordPressプラグインとして知られています。AjaxLoadMore Cacheは名前から、その周辺でキャッシュを扱う部分とみられます。ブログやニュースサイトの一覧ページに組み込まれることが多く、訪問者のブラウザーから非同期のリクエストを受ける性質上、ログインしていない相手からの通信を前提に動いています。認証不要の脆弱性が生まれやすい場所です。
WordPressのプラグインは、本体とは別の提供元が作っており、本体を更新しても自動では直りません。入力をコードとして扱ってしまう型の脆弱性は、WordPressサイトの乗っ取りに直結しやすく、公開された情報をもとに外部から機械的にサイトを探されることがよくあります。
よくある質問
Q.WordPress本体を最新にしていれば影響はありませんか。
Q.プラグインを無効化するだけで十分ですか。
まだ分かっていないこと
- 修正版が出ているか、出ているなら版番号は何かは、確認できていません。Patchstackの告知とプラグイン提供元の案内で確認してください。
- 実際の攻撃で悪用されたかどうかは、分かっていません。
- 攻撃の入口となる具体的な機能や、侵入されたかどうかを判断する手がかりの詳細は、公表されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Ajax Load More | AjaxLoadMore Cache |
3.1.1 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Unauthenticated Remote Code Execution (RCE) in AjaxLoadMore Cache <= 3.1.1 versions.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web patchstack.com
- web nvd.nist.gov
- web github.com