Orpheusテーマに認証不要の脆弱性、修正版は未確認
WordPressテーマOrpheusの1.8以前に、ログイン不要で外部から突かれる重大な脆弱性が見つかりました。このテーマを使うサイトの運営者が対象で、まず使用の有無と版を確認してください。修正版の有無は確認できていないため、ベンダーの告知を追いながら、使わないなら削除か別テーマへの切り替えを検討します。
急ぎ度: 早めに
CVSS v3が9.8と最高水準に近く、修正版の有無も確認できていないため、早めに使用状況を洗い出す段階と見ています。
関係があるか
WordPressでOrpheusテーマを有効にしている、または導入したまま残しているサイトです。自社の公式サイトやキャンペーンサイト、制作会社に任せている案件のサイトも含みます。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Orpheus（ThemeREX製のWordPressテーマ） | 1.8以前 | 未確認（ベンダーとPatchstackの告知を確認） |
確かめ方
- 1WordPressの管理画面で「外観」の「テーマ」を開き、Orpheusが一覧にあるか、版がいくつかを見ます。有効でなくても、一覧に残っていれば確認の対象です。
- 2子テーマを使っている場合は、親テーマがOrpheusかどうかを見ます。
- 3WP-CLIが使えるサーバーでは、次のコマンドで一覧を出せます。複数サイトを預かっている場合は、サイトごとに実行します。
- 4制作会社や保守会社に任せているサイトは、使っているテーマ名と版を問い合わせます。
何が起きたか
WordPressテーマOrpheusの1.8以前に、外部から送られたデータをサイト側がPHPのオブジェクトに復元してしまう脆弱性があります。ログインしていない相手からでも突けるとされ、条件がそろうとサイトの情報漏えいや改ざん、停止につながります。
PHP Object Injectionと呼ばれる種類で、分類はCWE-502です。外部から届いた値を信頼したまま復元すると、送り手が想定外のオブジェクトを作らせられます。復元されたオブジェクトが動くときに、サイトに入っている別のコードが意図しない形で呼ばれます。
この脆弱性は2026年10月29日に公開されました。情報源はPatchstackのデータベースで、どの機能が入り口になるのかといった細部は、現時点では確認できていません。
攻撃の流れ
-
1
対象サイトの特定
Orpheusテーマを使うWordPressサイトを、外部から探し出します。
-
2
細工データの送信
ログインなしで、細工したデータをサイトに送ります。
-
3
意図しない復元
サイト側が受け取ったデータをそのままオブジェクトに復元します。
-
4
想定外の処理
サイトに入っている別のコードが、攻撃者に都合のよい形で動きます。
-
5
サイトへの被害
情報の閲覧、ファイルの書き換え、サイト停止などが起こりえます。
どう悪用されるか
悪用にログインは要りません。インターネットから届くリクエストだけで足り、サイトの利用者や管理者に何かを操作させる必要もありません。攻撃の難しさも低いと評価されています。
悪用されると、機密性・完全性・可用性のいずれにも大きな影響が出ると評価されています。顧客情報やサイト内のデータの流出、ページの書き換え、不正なファイルの設置、サイトの停止が想定されます。
実際にどこまで被害が及ぶかは、同じサイトに入っているプラグインや他のコードにも左右されるのが、この種類の脆弱性の一般的な性質です。構成によっては影響が小さい場合もありますが、確認できるまでは最悪の場合を前提に動くほうが安全です。
今すぐやること
-
1
使用の有無と版を洗い出す
管理しているWordPressサイトすべてで、Orpheusが入っているか、版が1.8以前かを確認します。制作会社が管理するサイトも漏らさず対象にします。
wp theme list --fields=name,status,version -
2
修正版の有無を確認する
ThemeRE Xの配布元とPatchstackの告知を見て、1.8より新しい版が出ていないかを確認します。出ていれば、バックアップを取ったうえで修正版に更新し、表示崩れがないかを確かめます。
-
3
使わないテーマは削除する
Orpheusを使っていないのに残っているサイトでは、テーマのファイルごと削除します。
-
4
侵害の兆候を調べる
公開から日が浅いので、すぐに被害が出ているとは限りません。ただ、アクセスログに不審なリクエストがないか、見覚えのない管理者アカウントや更新日の新しいファイルがないかを、念のため見ておきます。
-
5
修正版が出ない場合の方針を決める
修正版が出ないまま使い続けるのは避け、別のテーマへの移行時期と、それまでの回避策を決めます。
すぐ更新できないとき
修正版を当てられない間は、別のテーマに切り替えたうえでOrpheusを削除するのがいちばん確実です。すぐに切り替えられないサイトでは、WAFを使っているなら、この脆弱性に対応するルールが提供されていないかをベンダーに確認します。サイトの公開範囲を一時的に絞れるなら、社内向けのキャンペーンページなど重要度の低いサイトから絞ります。
背景
WordPressのテーマは見た目を決めるだけでなく、PHPのコードとしてサイトと同じ権限で動きます。そのため、テーマ側の不備はサイト全体に及び、管理画面を守っていても影響を避けられません。テーマはプラグインに比べて更新を見落とされやすく、公開後に放置されたサイトが残りやすい点にも注意が必要です。
PHP Object Injectionは、外部から届いた文字列をPHPのunserializeなどでオブジェクトに戻す処理に起こりやすい脆弱性です。この種類は、復元されるクラスに加えて、サイトに入っている他のコードの組み合わせで被害の大きさが変わります。Orpheusの場合も、同じサイトに何が入っているかで影響が変わるとみられます。
よくある質問
Q.Orpheusを無効にしているだけなら、影響はありませんか。
Q.子テーマを使っています。対象になりますか。
まだ分かっていないこと
- 修正版が出ているかどうか、出ているならどの版かは分かっていません。ThemeREXの配布元とPatchstackの告知で確認してください。
- すでに実際の攻撃で悪用されているかどうかは分かっていません。
- どの機能やリクエストが入り口になるのか、具体的にどんな被害に至るのかといった技術的な詳細は、現時点では示されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| ThemeREX | Orpheus |
1.8 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Unauthenticated PHP Object Injection in Orpheus <= 1.8 versions.
出典: CVE.org (CVE Program・cvelistV5) NVD