Le Truffe 1.1.7以下に認証不要の重大な脆弱性
WordPress用テーマ「Le Truffe」の1.1.7以下に、ログインなしで外部から突かれ得るPHPオブジェクト注入の脆弱性が見つかりました。このテーマを使うWordPressサイトの運用者は、まず版を確認してください。修正版の情報は確認できていないため、当てはまる場合は回避策と併せて対応を進める必要があります。
急ぎ度: 早めに
CVSS v3は9.8で認証も利用者の操作も不要ですが、実際の悪用の報告や修正版の情報はまだ見当たらないため、至急ではなく早めの対応と判断しました。
関係があるか
Le Truffeテーマを導入しているWordPressサイトが対象です。インターネットに公開しているサイトなら、社内の広報サイトや採用サイトも含まれます。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Le Truffe（ThemeREX製のWordPressテーマ） | 1.1.7以下 | 修正版の版番号は確認できていません |
確かめ方
- 1WordPressの管理画面で「外観」の「テーマ」を開き、Le Truffeが入っているか、版が1.1.7以下かを確かめます。
- 2有効にしていなくても、インストールされたままのテーマは見落としやすいので、一覧の全テーマを見ます。
- 3WP-CLIが使える環境では、次のコマンドで導入済みテーマの名前・状態・版を一覧できます。
- 4子テーマを使っている場合は、親テーマがLe Truffeかどうかも確認します。
何が起きたか
Le Truffeテーマに、外部から受け取ったデータを十分に検証しないままPHPのオブジェクトに戻してしまう脆弱性があります。悪用されると、サイトの情報の読み取りや書き換え、サイトの停止につながるおそれがあります。
この種類の問題は、PHPオブジェクト注入（安全でないデシリアライズ、CWE-502）と呼ばれます。CVSS v3は9.8で、機密性・完全性・可用性のすべてに高い影響があると評価されています。
Patchstackのデータベースが2026年10月29日に、Le Truffe 1.1.7以下を対象として公開しました。
攻撃の流れ
-
1
対象サイトの特定
Le Truffeを使うWordPressサイトが、公開されているテーマの版などから探されます。
-
2
不正なデータを送信
ログインなしで、細工されたデータがサイトに送り込まれます。
-
3
オブジェクトに復元
テーマ側が受け取ったデータを検証せずPHPのオブジェクトに戻します。
-
4
意図しない動作
サイトに入っているほかのコードの働き次第で、情報の漏えい・改ざん・停止が起きます。
どう悪用されるか
悪用にログインは要りません。ネットワーク越しに到達でき、攻撃の複雑さは低く、利用者が何かを操作する必要もありません。インターネットに公開されたサイトなら、外部の第三者がそのまま狙えます。
成功した場合、CVSSの評価では情報の読み取り、データの書き換え、サイトの停止のすべてが起こり得ます。この種類の脆弱性では、実際の被害の大きさが同じサイトに入っているテーマやプラグインのコードにも左右されます。そのため、サイトごとに被害の幅が変わります。
今すぐやること
-
1
Le Truffeの導入有無と版を洗い出す
管理しているWordPressサイトすべてで、Le Truffeが入っているか、版が1.1.7以下かを確認します。使っていないサイトも対象にします。
wp theme list --fields=name,status,version -
2
修正版の公開を確認し、出ていれば更新する
ThemeRExの配布元とPatchstackの情報を確認します。修正版が出ていれば、先にバックアップを取ってから更新し、表示と主要な機能を確かめます。
-
3
修正版がなければ回避策を取る
別のテーマへの切り替えとLe Truffeの削除を検討します。難しい場合は、回避策の欄にある暫定措置を取ります。
-
4
不審な変化がないか点検する
公開以降のアクセスログと、管理者アカウント、テーマやアップロード用ディレクトリのファイル更新日時を見て、心当たりのない変化がないか確かめます。
すぐ更新できないとき
修正版がないあいだは、Le Truffeを使わない構成にするのが最も確実です。別のテーマに切り替え、使わなくなったLe Truffeは無効にするだけでなく、サーバーから削除します。
切り替えが難しいときは、WAFでリクエストを検査して不審なデータを遮断する、公開が必須でないサイトならBasic認証やIP制限で外部から到達できないようにする、といった暫定措置が考えられます。ただし、これらで防ぎきれる保証はありません。修正版が出るまでの時間稼ぎと考えてください。
背景
WordPressのテーマは、見た目を決めるだけでなく、すべてのページ表示でPHPのコードとして動きます。テーマ固有の機能を持たせた製品も多く、その部分に脆弱性があると、WordPress本体を最新にしていても影響を受けます。有効にしていないテーマも、ファイルがサーバーに残っていれば管理の対象から外れやすく、更新が止まりがちです。
PHPオブジェクト注入は、受け取ったデータをunserializeでオブジェクトに戻す処理から生まれる脆弱性です。WordPressのテーマやプラグインでは、これまでもたびたび報告されてきました。被害の程度は、同じサイトに読み込まれているクラスの顔ぶれに左右されます。Le Truffeの今回の件も、Patchstackの公開情報は影響を認証不要とし、CVSSを9.8としています。
よくある質問
Q.すでに侵害されたかどうかは、どう調べればよいですか。
Q.子テーマを使っています。影響はありますか。
まだ分かっていないこと
- 修正版が出ているか、出ているなら何版かは分かっていません。ThemeREXの配布元とPatchstackの告知で確認してください。
- 実際の攻撃で悪用された事例があるかどうかは分かっていません。
- どの機能が入口になるのか、どの程度の被害まで起こり得るのかといった技術的な詳細は、Patchstackの公開情報では示されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| ThemeREX | Le Truffe |
1.1.7 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Unauthenticated PHP Object Injection in Le Truffe <= 1.1.7 versions.
出典: CVE.org (CVE Program・cvelistV5) NVD