Mission 1.22以前に重大な脆弱性、修正版は未確認
WordPressのテーマMissionの1.22以前に、PHPオブジェクトインジェクションの脆弱性が見つかりました。このテーマ、またはこれを親にした子テーマを使うサイトの管理者は、版を確認し、ベンダーの告知で修正版の有無を調べてください。
急ぎ度: 早めに
CVSS v3は9.8で認証なしにネットワークから狙える評価ですが、修正版の有無は分からず、実際の悪用が確認されたという情報も出ていないため、至急ではなく早めの対応が妥当と見ています。
関係があるか
WordPressでMissionテーマを有効にしている、またはサーバー上に残しているサイトが対象です。Missionを親テーマにした子テーマを使うサイトも確認してください。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Mission（ThemeREX製のWordPressテーマ） | 1.22以前 | 不明。ベンダーの告知で確認してください |
確かめ方
- 1WordPress管理画面の「外観」から「テーマ」を開き、Missionがインストールされているか、版がいくつかを見ます。有効化していなくても、一覧に残っていれば確認の対象です。
- 2子テーマを使っている場合は、子テーマのstyle.cssにあるTemplateの行がMission（スラッグはmission）を指していないかを確認します。
- 3WP-CLIが使える環境なら、
wp theme list --fields=name,status,versionでテーマ名・状態・版をまとめて確認できます。複数サイトを預かっている場合は、サイトごとに実行してください。
何が起きたか
WordPressのテーマMissionの1.22以前に、PHPオブジェクトインジェクションの脆弱性があります。外部から届いたデータをPHPのオブジェクトに戻す処理で、内容を十分に疑わないまま扱ってしまう種類の問題です。
CVE-2026-62003として2026年10月29日に公開され、Patchstackのデータベースにも掲載されています。
悪用されると、攻撃者が用意した内容のオブジェクトがサーバー上で作られます。その先で何が起きるかは、サイトに読み込まれているクラスの組み合わせで変わります。CVSSでは機密性・完全性・可用性のいずれもHighと評価されており、情報の読み取り、改ざん、サイト停止までが想定されています。
攻撃の流れ
-
1
サイトに到達
Missionテーマが入ったWordPressサイトに、外部からネットワーク経由でアクセスします。
-
2
細工データ送信
テーマが受け付ける入力に、オブジェクトに戻される形式のデータを紛れ込ませます。
-
3
オブジェクト生成
サーバー側でデータが元のオブジェクトに戻され、意図しない内容のオブジェクトが作られます。
-
4
意図外の動作
読み込まれているクラスの処理が連鎖し、情報の漏えいや改ざん、停止などにつながるおそれがあります。
どう悪用されるか
攻撃にログインは要りません。インターネット側から該当サイトにアクセスできれば足り、管理者や訪問者に操作をさせる必要もありません。攻撃の複雑さも低いと評価されています。
成功したときの被害は、サイトの構成しだいです。最悪の場合、WordPressが動くサーバー上のデータ読み取り、ファイル改ざん、サービス停止に至ります。データベースの接続情報などが読まれれば、同じサーバーにある別のサイトにも影響が広がります。
今すぐやること
-
1
Missionの有無と版を洗い出す
自社で運用するWordPressサイトと、制作会社や委託先が管理するサイトを含めて、Missionと、これを親にした子テーマの有無を調べます。1.22以前が見つかったサイトから先に進めます。
wp theme list --fields=name,status,version -
2
修正版の有無をベンダーの告知で調べる
ThemeRESTの販売ページや更新の案内、Patchstackの掲載ページを見て、修正版が出ているかを確認します。出ていれば、テスト環境で表示を確認したうえで本番に更新します。有償テーマは管理画面の自動更新に出てこないことがあるため、購入元のアカウントからも確認してください。
-
3
更新前にバックアップを取る
ファイルとデータベースの両方を、サイトの外に保存します。更新で表示が崩れたときの戻り先になるほか、侵害が疑われたときの比較元にもなります。
-
4
修正版がなければ回避策に進む
修正版が見当たらないサイトは、回避策に挙げた方法でリスクを下げます。対応までの期間は、アクセスログを見ておくと安心です。
-
5
侵害の痕跡を見る
身に覚えのない管理者ユーザー、最近更新されたPHPファイル、テーマ配下のファイル追加がないかを調べます。アクセスログに、同じURLへの不自然な長いパラメーター付きのリクエストが続いていないかも見ます。
すぐ更新できないとき
修正版が出ていないあいだは、Missionを使っていないなら、無効化にとどめずテーマごと削除します。使っているなら、別のテーマに切り替えられるかを検討してください。切り替えられない場合は、WAFのベンダーが対応ルールを出していないかを確認して適用し、サイトの公開範囲を絞れるなら社内や特定のIPだけに限ります。いずれも恒久策ではないため、修正版が出たら更新に切り替えます。
背景
WordPressのテーマは見た目を決めるだけでなく、PHPのコードとしてサイトと同じ権限で動きます。テーマに脆弱性があれば、WordPress本体を最新にしていても、そのサイトへの入口になります。Missionは販売元が提供するテーマで、本体の更新だけでは解消しません。
PHPオブジェクトインジェクションは、外から届いたデータをオブジェクトに戻す処理が原因で起きます。被害の大きさは、その処理そのものより、同じサイトに読み込まれているテーマやプラグインのクラスで決まるのが特徴です。同じMissionでも、入れているプラグインしだいで影響が変わりうる点が、この種類の見極めを難しくしています。
よくある質問
Q.WordPress本体を最新にしていれば安全ですか。
Q.CVSS v3が9.8なら、該当サイトは必ず乗っ取られますか。
まだ分かっていないこと
- Missionの修正版が出ているか、出ているなら版番号はいくつか。最新の状況はThemeRESTの案内とPatchstackの掲載ページで確認してください。
- 実際の攻撃で悪用された事例があるか。今後の状況は、各社の告知や脆弱性情報の更新で確かめてください。
- テーマ内のどの処理が原因か、どのような条件の環境で被害が大きくなるか。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| ThemeREX | Mission |
1.22 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Unauthenticated PHP Object Injection in Mission <= 1.22 versions.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web patchstack.com
- web nvd.nist.gov
- web github.com