WordPressのNutsテーマに認証不要の脆弱性、1.12以前
ThemeRExのWordPressテーマNutsに、ログインなしで悪用できるPHPオブジェクトインジェクションの脆弱性が見つかりました。1.12以前を使うサイトが対象です。まず自社サイトのテーマと版を確認し、修正版の案内が出ているかをベンダーの告知で調べてください。
急ぎ度: 早めに
CVSS v3は9.8で認証不要のネットワーク経由という条件ですが、実際に悪用されたという情報は見当たらず、修正版の有無も確認できていないため、早めの確認と対処が妥当です。
関係があるか
WordPressでNutsテーマを使っている、または使っていたサイトが対象です。企業のコーポレートサイトやキャンペーンサイトを外部の制作会社に任せている場合、テーマが使われていることに気づきにくいので注意してください。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Nuts（ThemeREX製のWordPressテーマ） | 1.12以前 | ベンダーの告知で確認してください |
確かめ方
- 1WordPressの管理画面で「外観」の「テーマ」を開き、Nutsが入っているか、版が1.12以前かを確認する。
- 2有効なテーマだけでなく、無効のまま残っているテーマと、Nutsを親にした子テーマも確認する。
- 3WP-CLIが使える環境では、次のコマンドでインストール済みテーマの版を一覧できる。
- 4制作や運用を委託している場合は、委託先にNutsの使用有無と版を問い合わせる。
何が起きたか
WordPressテーマNutsの1.12以前に、ログインしていない第三者からの入力をきっかけに、サイト上で意図しない処理を起こされるおそれのある脆弱性が見つかりました。Patchstackのデータベースが2026年10月29日に公開しています。
種類はPHPオブジェクトインジェクション（CWE-502）です。外部から届いたデータをPHPのオブジェクトに復元する処理で、データの中身が十分に検証されないと、作り手が想定していないオブジェクトを生成されてしまいます。
深刻度はCVSS v3で9.8、評価は最高位のcriticalです。機密性、完全性、可用性の3項目がいずれも高と評価されています。
攻撃の流れ
-
1
外部から到達
ログイン不要で、インターネットからNutsテーマの処理にデータが届く。
-
2
データを復元
テーマが受け取ったデータを検証が不十分なままオブジェクトに復元する。
-
3
想定外の生成
作り手が想定していないオブジェクトがサイト上で作られる。
-
4
サイトに影響
サイト内にある既存のコードの内容に応じて、情報の漏えい、改ざん、停止などが起こりうる。
どう悪用されるか
悪用に認証は要りません。ネットワーク経由で、特別な権限や利用者の操作も必要とせず、複雑な条件もありません。Nutsが入ったWordPressサイトがインターネットから届く状態であれば、条件を満たしてしまいます。
CVSSの評価では、悪用に成功すると情報の読み取り、書き換え、サービス停止のいずれにも高い影響が出るとされています。ただし、PHPオブジェクトインジェクションの実際の被害は、サイトに入っているほかのテーマやプラグインのコードにも左右されます。自社のサイトでどこまで広がるかは、構成ごとに違います。
今すぐやること
-
1
Nutsの使用有無と版を洗い出す
管理するWordPressサイトすべてで、Nutsが入っているか、版が1.12以前かを確認します。無効のテーマや子テーマの親も見落とさないようにします。
wp theme list --fields=name,status,version -
2
修正版の案内を確認して更新する
ThemeRExの告知とPatchstackのページで、修正版が出ているかを確認します。出ていれば、先にバックアップを取り、できれば検証環境で表示を確かめてから、修正版に更新します。
-
3
使っていないNutsを削除する
サイトで使っていないのにNutsが残っているなら、無効化するだけでなくテーマごと削除します。不要なコードを減らす基本の対策です。
-
4
ログを見て不審な形跡を探す
公表日以降のアクセスログとエラーログで、普段と違う大量のリクエストや、見覚えのないファイル・管理者アカウントの追加がないかを確認します。見つかった場合は、インシデントとして調査の手順に移ります。
すぐ更新できないとき
修正版がなく、テーマも切り替えられないときは、WAFのベンダーが本脆弱性に対応したルールを出しているかを確認し、出ていれば有効にします。ただし、これは根本の修正の代わりにはなりません。可能であれば、Nutsから別のテーマに切り替えて、Nutsを削除するのが確実です。サイトを一時的に非公開にしたり、アクセス元を絞ったりできる場合は、修正版が出るまでの間の措置として検討してください。
背景
WordPressのテーマは、見た目を決める部品に見えますが、中身はPHPのコードです。WordPress本体と同じ権限で動くため、テーマ側に脆弱性があれば、本体を最新にしていてもサイト全体が影響を受けます。今回のNutsも、本体の更新では防げない種類の問題です。
PHPオブジェクトインジェクションは、外部から来たデータをPHPのオブジェクトに復元するときに、中身を検証しないことで起きます。単体では何も起きなくても、サイトに入っている別のコードの処理と組み合わさって被害になるのが特徴で、WordPressのテーマやプラグインでは、同種の報告が各所で出てきました。深刻度が最高位に近い9.8と評価されているのも、認証が要らない点が大きいからです。
よくある質問
Q.WordPress本体やほかのプラグインを最新にしていれば防げますか。
Q.子テーマを使っていますが、対象になりますか。
まだ分かっていないこと
- 修正版の版番号と公開日は、確認した時点では分かっていません。ThemeRExの告知とPatchstackのページで確認してください。
- 実際に悪用された事例があるかどうかは分かっていません。
- 悪用に使われるコードの連鎖の有無や、侵害された場合に具体的にどこまで被害が及ぶかは、公表されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| ThemeREX | Nuts |
1.12 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Unauthenticated PHP Object Injection in Nuts <= 1.12 versions.
出典: CVE.org (CVE Program・cvelistV5) NVD