WordPress Legal Stoneに認証不要の脆弱性、修正版は未確認
WordPressテーマのLegal Stone 1.2.11以前に、ログイン不要で悪用できるPHPオブジェクトインジェクションの脆弱性が見つかりました。このテーマを使うWordPressサイトの運営者が対象です。まず使用の有無と版を確認し、修正版の有無をベンダーの告知で調べてください。
急ぎ度: 早めに
CVSS v3は9.8で認証も利用者の操作も要らない一方、KEVへの掲載は確認できず、修正版の有無も分かっていないため、該当サイトの洗い出しと暫定対処を急ぐ段階です。
関係があるか
Legal Stoneテーマを使っているWordPressサイトの運営者が対象です。インターネットに公開しているサイトは、社内の広報サイトや採用サイト、子会社や委託先が運用するサイトも含めて確認が要ります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Legal Stone（ThemeREXのWordPressテーマ） | 1.2.11以前 | 未確認（ベンダーの告知で確認してください） |
確かめ方
- 1WordPressの管理画面で「外観」から「テーマ」を開き、Legal Stoneがあるか、版が1.2.11以下かを見ます。
- 2WP-CLIが使える環境では
wp theme listを実行し、legal-stoneの行の版を見ます。 - 3子テーマを使っている場合は、親テーマのLegal Stoneの版を確認します。親のコードが動くためです。
- 4管理しているWordPressサイトが複数あるときは、サイトごとにテーマ一覧を取り、Legal Stoneの有無を棚卸しします。
何が起きたか
WordPressテーマのLegal Stoneに、ログインしていない第三者が、サイトに不正なデータを渡して処理させられる脆弱性が見つかりました。種類はPHPオブジェクトインジェクション（CWE-502）で、1.2.11以前の版が影響を受けます。
Patchstackのデータベースに2026年10月29日付で登載されました。重要度はcriticalで、CVSS v3は9.8です。
PHPオブジェクトインジェクションは、外部から受け取ったデータをPHPのオブジェクトに復元する処理に、信頼できないデータが入り込むことで起きます。復元されたオブジェクトがどんな動きをするかは、サイトに入っているほかのコードにも左右されます。
KEVには載っておらず、実際の攻撃は確認されていないようです。ただ、認証が要らず公開サイトから届く種類なので、修正版が出るまでは該当サイトの把握と暫定対処を先に進めておく価値があります。
攻撃の流れ
-
1
対象サイトの特定
Legal Stoneを使う公開サイトが見つけられる。
-
2
不正データの送信
ログインなしで、テーマの処理に細工したデータが渡される。
-
3
オブジェクトへの復元
信頼できないデータがPHPのオブジェクトとして復元される。
-
4
サイトへの影響
サイトの構成次第で、情報の閲覧、改ざん、停止などが起こりうる。
どう悪用されるか
悪用に必要な権限はありません。CVSSのベクターでは、ネットワーク経由で（AV:N）、特別な条件なしに（AC:L）、認証なしで（PR:N）、利用者の操作も要らない（UI:N）と評価されています。公開されているサイトであれば、インターネット上のだれからでも届く位置にあります。
悪用が成立したときの被害は、機密性・完全性・可用性のすべてが高いと見積もられています。サイト内の情報が読まれる、内容が書き換えられる、サービスが止まるといった影響です。実際にどこまで起きるかは、サイトに入っているほかのコードやサーバー側の構成によって変わります。
今すぐやること
-
1
使用しているサイトを洗い出す
管理しているWordPressサイトで、Legal Stoneが入っているか、版が1.2.11以下かを確認します。委託先が運用するサイトも、運用者に問い合わせて棚卸しします。
wp theme list -
2
修正版の有無を調べる
ThemeREXの告知と、Patchstackのデータベースの登載ページを確認します。修正版が出ていれば、更新の前にバックアップを取ります。
-
3
修正版に更新する
修正版が出たら、検証環境で表示を確認したうえで本番のテーマを更新します。子テーマを使っている場合は、親テーマを更新したあとに表示崩れがないかを見ます。
-
4
修正版がなければ回避策を取る
修正版が出ていない間は、下の回避策を適用します。
-
5
侵害の痕跡を点検する
公開日より前から該当版を動かしていたサイトは、テーマや本体ファイルの予期しない変更、見覚えのない管理者アカウント、不審なアクセスがログにないかを確認します。
すぐ更新できないとき
修正版が出ていない間は、Legal Stoneを使わない状態にするのが確実です。別のテーマに切り替えたうえで、Legal Stoneのファイルをサーバーから削除します。切り替えが難しいサイトは、WAFで該当サイトへの不審なリクエストを検査・遮断する設定にし、公開の範囲を一時的に絞ることも検討します。WAFでの遮断は完全な防御にはならないため、あくまで修正版が出るまでの時間稼ぎと考えてください。
背景
Legal Stoneは、ThemeREXが提供するWordPressテーマです。テーマはサイトの見た目とレイアウトを決める部品ですが、中身はPHPのコードで、サイトと同じ権限で動きます。テーマ側にある脆弱性は、WordPress本体を最新にしても解消しません。
PHPには、保存された文字列をオブジェクトに戻す仕組みがあります。外から届いたデータをこの仕組みにそのまま渡す実装は、PHPで古くから知られた脆弱性の型です。復元されるオブジェクトの種類によっては、サイトに入っているほかのクラスの処理が連鎖して動き、被害が大きく広がることがあります。今回の脆弱性が実際にどこまでの影響につながるかは、まだ分かっていません。
よくある質問
Q.すでに侵害されていないかは、どう調べればよいですか。
まだ分かっていないこと
- 修正版の有無と、修正版の版番号は分かっていません。ThemeREXの告知とPatchstackの登載ページで確認してください。
- 実際の攻撃で悪用されているかは、いまのところ確認できていません。公開日より前に攻撃を受けていたかどうかも分かっていません。
- テーマを有効化していない場合にも影響が及ぶか、悪用で具体的にどんな被害が出るかは公表されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| ThemeREX | Legal Stone |
1.2.11 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Unauthenticated PHP Object Injection in Legal Stone <= 1.2.11 versions.
出典: CVE.org (CVE Program・cvelistV5) NVD