WordPressテーマFilmaxに重大な脆弱性、修正版は未確認
WordPressテーマFilmaxの1.1.11以前に、サイトの乗っ取りやデータ漏えいにつながりうる重大な脆弱性が見つかりました。Filmaxを使っているWordPressサイトの運営者は、まず導入の有無と版を洗い出してください。修正版の有無はベンダーの告知で確認し、出るまでは回避策で備えます。
急ぎ度: 早めに
CVSS v3が9.8と最高に近く、修正版の存在が確認できていないため、更新を待つ前に導入状況の洗い出しと回避策の検討を始める必要があります。
関係があるか
Filmaxテーマを導入しているWordPressサイトが対象です。自社サイトだけでなく、制作会社が構築した顧客サイトやキャンペーンサイトも洗い出しの範囲に入ります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Filmax（ThemeREXのWordPressテーマ） | 1.1.11以前 | 修正版は未確認 |
確かめ方
- 1WordPressの管理画面で「外観」の「テーマ」を開き、Filmaxが一覧にあるか、版がいくつかを見ます。有効化していなくても、導入済みなら一覧に出ます。
- 2WP-CLIを使える環境では、
wp theme listでテーマと版を一括で確認できます。複数サイトを持つ場合は、サイトごとに実行します。 - 3子テーマを使っているサイトは、親テーマがFilmaxかどうかも確認します。
何が起きたか
WordPressのテーマFilmaxに、サイトのデータの閲覧、改ざん、サイトの停止につながりうる重大な脆弱性が見つかりました。
種類はPHP Object Injection（CWE-502）です。外部から届いたデータを、検証が不十分なままPHPのオブジェクトに復元してしまう処理が原因です。深刻度はCVSS v3で9.8とされています。
Patchstackのデータベースに2026年10月29日付で掲載されました。
攻撃の流れ
-
1
対象サイトの特定
Filmaxを使っているWordPressサイトを、外部から探し当てます。
-
2
細工データの送信
テーマが受け付ける入力に、特別に作ったデータを送り込みます。
-
3
オブジェクトに復元
テーマが検証せずにデータをPHPのオブジェクトとして復元します。
-
4
意図しない処理
サイト内のコードが想定外の動きをし、情報の閲覧や改ざん、停止につながります。
どう悪用されるか
ログインは要りません。インターネットから該当サイトへ到達できれば、管理者や閲覧者に何かをさせる必要もなく、複雑な条件もないと評価されています。公開サイトであれば、誰でも攻撃を試せる状態です。
被害は、情報の閲覧、データの改ざん、サイトの停止のいずれにも及びうるとされ、CVSSでは機密性・完全性・可用性のすべてが高と評価されています。この種の脆弱性では、実際の被害はサイトに入っているテーマやプラグインのコード次第で変わります。
今すぐやること
-
1
導入しているサイトを洗い出す
自社と委託先が管理するWordPressサイトで、Filmaxの導入有無と版を確認します。1.1.11以前が見つかったら、対応を始めます。
wp theme list -
2
修正版の有無をベンダーの告知で確認する
ThemeREXの告知とPatchstackのページで、修正版が出ているかを確認します。出ていれば、更新前にファイルとデータベースのバックアップを取り、修正版に更新します。
-
3
修正版が無ければ回避策を適用する
更新できるまでの間、回避策に書いた方法のいずれかで露出を減らします。
-
4
不審な変更がないか点検する
身に覚えのない管理者アカウント、テーマやプラグインのファイルの更新、見慣れないファイルがないかを見ます。あれば、パスワードの変更とバックアップからの復旧を検討します。
すぐ更新できないとき
修正版が出るまでは、Filmaxを使わない状態にするのが確実です。別のテーマに切り替えたうえでFilmaxを削除すると、攻撃を受けるテーマ自体がなくなります。見た目が変わるため、まず検証環境で表示を確かめてください。
切り替えが難しいときは、WAFでPHPのシリアライズ形式のデータを含むリクエストを遮断するルールを有効にします。ただし、遮断だけで脆弱性が消えるわけではないため、一時的な措置にとどめます。公開の必要が薄いサイトは、いったん非公開にする手もあります。
背景
テーマはWordPressサイトの見た目を決める部品ですが、中身はPHPのコードで、サイトへのアクセスのたびに読み込まれます。画面のデザインを選ぶ感覚で入れたテーマが、サーバー上で動くプログラムとして攻撃の入口になりうる点は見落とされがちです。使わなくなったテーマを入れたままにしている環境は少なくありません。
PHP Object Injectionは、PHPのシリアライズ形式のデータを復元する処理に、外部の入力が検証なく渡ると起きる種類の脆弱性です。実際にどこまで被害が広がるかは、サイト内に読み込まれているクラスの組み合わせで決まるため、同じ脆弱性でもサイトごとに影響が異なります。テーマ単体の更新だけでなく、同じサイトに入っているほかのテーマやプラグインの棚卸しも、被害の見積もりには役立ちます。
よくある質問
Q.WordPress本体を最新にしていれば大丈夫ですか。
Q.子テーマを使っています。対象になりますか。
まだ分かっていないこと
- 修正版が出ているか、出ているなら版番号は何かは、確認できていません。ThemeREXの告知とPatchstackのページで確認してください。
- 実際の攻撃で悪用された事例が確認されているかどうかも分かっていません。
- Filmaxを有効化していないサイトでも到達できるか、また実際にどこまで被害が及ぶかは、詳しい説明が出ていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| ThemeREX | Filmax |
1.1.11 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Unauthenticated PHP Object Injection in Filmax <= 1.1.11 versions.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web patchstack.com
- web nvd.nist.gov
- web github.com