Motorixテーマに認証不要の重大な脆弱性、修正版は未確認
WordPressのテーマMotorixの1.11以下に、ログインなしで悪用できる脆弱性が見つかりました。このテーマを使う公開サイトの運営者は、まず版を確認してください。修正版の有無はベンダーの告知で確かめ、見つからなければ回避策で露出を減らします。
急ぎ度: 早めに
CVSS v3は9.8で認証も利用者の操作も要らない一方、実際の悪用の報告は今のところ見当たらず、修正版の有無も確認できていないため、版の確認と回避策の検討を早めに進めてください。
関係があるか
WordPressでMotorixテーマを使っているサイトが対象です。インターネットに公開している企業サイト、採用サイト、キャンペーンサイトのほか、制作会社が納品したサイトも含まれます。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Motorix（ThemeREX製のWordPressテーマ） | 1.11以下 | 修正版の版番号は確認できていません |
確かめ方
- 1WordPressの管理画面で「外観」の「テーマ」を開き、Motorixが入っているか、版がいくつかを見る。
- 2WP-CLIが使えるサーバーでは、
wp theme get motorix --field=versionで版を確認する。 - 3子テーマを使っている場合は、親テーマがMotorixかどうかも見る。
- 4制作会社や保守業者に任せているサイトは、使っているテーマ名と版を問い合わせる。
何が起きたか
WordPressのテーマMotorixに、ログインしていない相手が送ったデータをサイト側が危険な形で復元してしまう脆弱性があります。1.11以下が対象です。
Patchstackが2026年10月29日に公開しました。分類はPHP Object Injection（CWE-502）で、外部から受け取ったデータをPHPのオブジェクトに戻す処理で、中身の検査が足りないことが原因です。
深刻度はCVSS v3で9.8と最高クラスです。
攻撃の流れ
-
1
細工データを送る
外部の第三者が、公開サイトのMotorixに特別に作ったデータを送ります。
-
2
テーマが復元する
テーマが受け取ったデータを十分に検査しないまま、PHPのオブジェクトとして復元します。
-
3
意図しない動作
復元されたオブジェクトが、サイト内の既存のコードを想定外の形で動かします。
-
4
サイトへの被害
サイトの構成次第で、情報の閲覧、改ざん、停止につながります。
どう悪用されるか
悪用に認証は要りません。ネットワーク越しに到達できれば成立し、攻撃を難しくする条件は少なく、管理者や訪問者に操作させる必要もありません。つまり、インターネットに公開されたサイトなら、だれでも標的になり得ます。
CVSSでは機密性・完全性・可用性のすべてが高と評価されています。情報の読み取り、内容の書き換え、サイトの停止が想定される被害です。実際にどこまで起きるかは、同じサイトに入っているほかのテーマやプラグインのコード次第で変わります。
今すぐやること
-
1
使っているかと版を確認する
管理画面かWP-CLIでMotorixの有無と版を確認します。親テーマ、子テーマ、有効化していないコピーのいずれも対象に含めて棚卸しします。
wp theme get motorix --field=version -
2
修正版の有無をベンダーの告知で確かめる
ThemeRESTの告知と、Patchstackのデータベースの該当ページを見ます。1.12以降が出ていれば、更新前にバックアップを取り、ステージング環境で表示を確かめてから本番に当てます。
-
3
修正版がなければ露出を減らす
別のテーマへ切り替えるか、公開を一時的に絞るかを、サイトの重要度で決めます。具体的な方法は回避策に挙げています。
-
4
公開後の不審な動きを点検する
10月29日の公開以降のアクセスログに、見慣れないリクエストが集中していないかを見ます。あわせて、身に覚えのない管理者アカウント、テーマやuploads配下に増えたファイル、改ざんされた投稿がないかを確認します。
すぐ更新できないとき
修正版が当てられない間は、Motorixを使わない状態にするのが確実です。別のテーマに切り替えると表示が崩れることがあるので、ステージング環境で確認してから本番に反映してください。使っていないMotorixのコピーは、サーバーから削除します。切り替えが難しいサイトでは、WAFで該当テーマへの不審なリクエストを遮断するルールがベンダーから提供されていないかを確認し、提供されていれば適用します。メンテナンス表示にして公開を止める手もあります。
背景
WordPressのテーマは、見た目を決めるだけの部品ではありません。PHPのコードを含み、公開サイトへのリクエストを受け付ける場所で動きます。ThemeREXのような商用テーマは、デモ用のサンプル投入や独自の設定画面など、標準のWordPressにはない処理を多く持ちます。外部から届くデータを扱う入り口が増えやすく、そこに検査の甘い箇所があると、ログインなしで届く経路になります。
CWE-502は、外部から来たデータをオブジェクトに戻すときの検査不足を指します。PHPではこの種の脆弱性がPHP Object Injectionと呼ばれ、WordPressのプラグインやテーマでも繰り返し報告されています。単体では何も起きなくても、同じサイトに入っているほかのコードと組み合わさったときに被害が現れる点が特徴で、サイトごとに影響が異なります。
よくある質問
Q.子テーマを使っています。親テーマがMotorixなら対象ですか。
まだ分かっていないこと
- 修正版の有無と版番号は分かっていません。ThemeRESTの告知とPatchstackの該当ページで確認してください。
- 実際の攻撃で悪用されたかどうかは分かっていません。
- Motorix単体でどこまでの被害が出るのか、攻撃の入り口になる機能はどれなのか、有効化していないテーマにも影響が及ぶのかは、分かっていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| ThemeREX | Motorix |
1.11 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Unauthenticated PHP Object Injection in Motorix <= 1.11 versions.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web patchstack.com
- web nvd.nist.gov
- web github.com