Meals & Wheelsテーマに認証不要の脆弱性、修正版は未確認
WordPressテーマのMeals & Wheels 1.1.13以前に、ログインなしで悪用できる深刻な脆弱性が見つかりました。このテーマを使っているサイトの運営者は、まず使用の有無と版を確認してください。修正版の情報はまだないため、回避策の準備も並行して進める必要があります。
急ぎ度: 早めに
CVSSは9.8で認証も利用者の操作も要らない一方、実際の悪用が確認されたという情報はなく、修正版の情報もまだありません。
関係があるか
WordPressでMeals & Wheelsテーマ（ThemeREX）を使っている公開サイトが対象です。子テーマ経由で使っている場合も、親テーマが対象の版なら当てはまります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Meals & Wheels（WordPressテーマ、ThemeREX） | 1.1.13以前 | 修正版の情報なし |
確かめ方
- 1WordPressの管理画面で「外観」から「テーマ」を開き、Meals & Wheelsが入っているか、版がいくつかを見る。
- 2子テーマを使っている場合は、子テーマのstyle.cssにあるTemplateの行がmeals-wheelsになっていないかを見る。
- 3WP-CLIが使える環境では、次のコマンドでテーマの一覧と版を出せる。複数サイトを預かっているなら、全サイトで同じ確認をする。
何が起きたか
WordPressテーマのMeals & Wheelsに、ログインしていない外部の人が細工したデータを送り込める脆弱性があります。悪用されると、サイトの情報漏えい、改ざん、停止につながるおそれがあります。
種類はPHP Object Injection（CWE-502）で、外部から受け取ったデータをPHPのオブジェクトに戻す処理の扱いに問題があります。対象は1.1.13以前で、2026年10月29日にPatchstackのデータベースへ掲載されました。
筆者は、悪用の確認が出ていない段階なので、サイトを今すぐ止めるほどではないと見ています。ただ、修正版の情報がない以上、テーマを使っているかどうかの確認は今日のうちに済ませておくと安心です。
攻撃の流れ
-
1
対象サイトを探す
インターネットから、Meals & Wheelsを使っているWordPressサイトを見つける。
-
2
細工データの送信
ログインせずに、テーマが受け取る入力へ不正なデータを送る。
-
3
オブジェクト化される
テーマが入力を検証しないままPHPのオブジェクトに戻してしまう。
-
4
意図しない動作
サイト上の既存コードが想定外の動きをし、情報の漏えいや改ざん、停止につながる。
どう悪用されるか
悪用に必要な条件はほとんどありません。ログインは不要で、インターネット経由で届き、管理者や訪問者に操作させる必要もありません。攻撃の複雑さも低いとされています。
悪用された場合、機密性、完全性、可用性のいずれにも大きな影響が出ると評価されています。この種類の脆弱性は、サイトに入っているほかのコードの内容によって、データの読み取りや書き換え、ファイル操作などへ広がることがあります。
今すぐやること
-
1
テーマの使用と版を確認する
管理画面かWP-CLIで、Meals & Wheelsが入っているか、版が1.1.13以前かを確認します。複数のサイトを運用している場合は、すべてのサイトを洗い出します。
wp theme list --fields=name,status,version -
2
ベンダーの告知を見て、修正版が出たら更新する
ThemeRExの告知とPatchstackのページを確認します。修正版が出ていれば、更新前にバックアップを取ってから更新します。
-
3
修正版がなければ回避策を適用する
テーマの切り替えなどで、このテーマを動かさない状態にします。内容は回避策のとおりにそろえます。
-
4
不審な痕跡がないか調べる
アクセスログに通常と違うリクエストが増えていないか、テーマやアップロード用のフォルダーに身に覚えのないファイルがないかを確認します。見つかったときは、パスワードの変更と、バックアップからの復旧を検討します。
すぐ更新できないとき
修正版が出るまでは、Meals & Wheelsから別のテーマに切り替えて、このテーマを使わない状態にするのが確実です。切り替えられないときは、テーマの入ったフォルダーをサーバー上で外すか、WAFでこのテーマへの不審なリクエストを遮断します。ただしWAFは補助にとどまります。サイトの表示が崩れることもあるため、本番に反映する前にテスト環境で確認してください。
背景
WordPressのテーマは見た目を決めるだけではなく、PHPのコードを含みます。サイトを公開しているのと同じ権限で動くため、テーマ側に脆弱性があると、サイト全体が影響を受けます。
PHP Object Injectionは、外部から届いたデータをPHPのオブジェクトに戻す処理で起きる脆弱性です。WordPress向けのテーマやプラグインで見つかる型の一つです。今回はログイン不要で、公開サイトの入口に近いテーマ側のコードが対象です。管理画面を守っていても防げない点が、運用上の厄介なところです。
よくある質問
Q.テーマを入れているだけで、有効にしていなくても影響しますか。
Q.WAFを入れていれば、修正版を待ってもよいですか。
まだ分かっていないこと
- 修正版が出ているか、いつ出る予定かは公表されていません。ThemeREXの告知とPatchstackのページで確認してください。
- 実際の攻撃で悪用された事例があるかは、分かっていません。
- 悪用されたとき、このテーマで具体的にどこまでの被害に及ぶのかは、詳しい条件が公開されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| ThemeREX | Meals & Wheels |
1.1.13 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Unauthenticated PHP Object Injection in Meals & Wheels <= 1.1.13 versions.
出典: CVE.org (CVE Program・cvelistV5) NVD