WordPressテーマBonbonに深刻な脆弱性、修正版は要確認
ThemeRExのWordPressテーマBonbonの1.11以前に、PHP Object Injectionの脆弱性が見つかりました。該当テーマを使うWordPressサイトの運営者は、まず版を確認し、ベンダーの告知で修正版の有無を調べてください。修正版がなければ、テーマの切り替えと削除を検討する段階です。
急ぎ度: 早めに
CVSS v3は9.8と最高クラスですが、実際の悪用の報告は伝わっておらず、修正版の有無も不明なため、まず影響の確認から始める段階です。
関係があるか
WordPressでBonbonテーマを使っている、または導入したまま残しているサイトが対象です。企業の広報サイトやキャンペーンサイトを外部の制作会社に任せている場合、テーマの使用状況を把握していないことがあります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Bonbon（ThemeREX製のWordPressテーマ） | 1.11以前 | 版番号は不明です。ベンダーとPatchstackの告知で確認してください |
確かめ方
- 1WordPressの管理画面で「外観」の「テーマ」を開き、Bonbonがあるか、版が1.11以前かを見ます。有効化していないテーマも一覧に出ます。
- 2WP-CLIが使える環境では、
wp theme listでテーマ名・状態・版を一覧できます。 - 3制作会社やホスティング事業者が運用しているサイトは、自社で管理画面に入れなくても、先方にBonbonの使用有無を問い合わせます。複数サイトを持つ場合は、すべてのサイトを対象にします。
何が起きたか
Bonbonは、WordPress用の有料テーマです。この製品の1.11以前に、PHP Object Injectionと呼ばれる種類の脆弱性があります。悪用されると、サイトの情報が読まれる、書き換えられる、動作が止まるといった被害につながるおそれがあります。
CVSS v3のスコアは9.8で、深刻度はcriticalです。機密性・完全性・可用性のすべてに高い影響が付いています。
この種類の脆弱性は、外部から受け取ったデータをPHPのオブジェクトに戻す処理に原因があります。分類はCWE-502（信頼できないデータのデシリアライズ）です。公開日は2026年10月29日で、情報の出どころはPatchstackのデータベースです。
攻撃の流れ
-
1
細工データを送る
攻撃者がログインせずに、Bonbonを入れたサイトへ細工したデータを送ります。
-
2
サイトが復元する
テーマの処理がそのデータをPHPのオブジェクトに戻します。
-
3
想定外の動作
戻されたオブジェクトが、開発者の意図しない形でサイト内のコードを動かします。
-
4
被害が出る
情報の漏えい、データの改ざん、サイトの停止などが起こりえます。
どう悪用されるか
攻撃にはログインが要りません。インターネットから該当サイトに届く通信だけで足り、管理者や訪問者に何か操作をさせる必要もありません。CVSSのベクターでも、ネットワーク経由・低い複雑さ・認証不要・利用者の操作不要と評価されています。
被害の大きさは、同じサイトに入っているテーマやプラグインのコードに左右されるのが、この種類の脆弱性の一般的な性質です。ただ、スコアは機密性・完全性・可用性のすべてに高い影響を想定しています。情報の持ち出し、ページの改ざん、サイトの停止まで見込んでおくのが安全です。
今すぐやること
-
1
Bonbonの有無と版を調べる
管理するすべてのWordPressサイトで、Bonbonが入っているか、版が1.11以前かを確認します。制作会社が運用するサイトも含めます。
wp theme list -
2
修正版の有無を調べる
ThemeRExの告知とPatchstackのページで、修正版が出ているかを確認します。出ていれば、バックアップを取ったうえで更新します。
-
3
修正版がなければ使用をやめる
別のテーマへ切り替え、使っていないBonbonのファイルはサーバーから削除します。切り替え前にはサイトのバックアップを取り、表示崩れがないか確認します。
-
4
侵害の痕跡を点検する
身に覚えのない管理者アカウント、更新していないファイルの変更、見慣れないファイルがないかを見ます。アクセスログで、該当サイトへの不審なリクエストがないかも調べます。
すぐ更新できないとき
修正版が見つからないときは、Bonbonを使うのをやめるのが確実です。別のテーマに切り替え、Bonbonのファイルを削除してください。切り替えがすぐにできない場合は、WAFを使っているなら、提供元にこの脆弱性への対応ルールがあるかを問い合わせます。管理者アカウントの見直しとバックアップの取得も、並行して進めておくと安心です。
背景
WordPressのテーマは、見た目を決めるだけではありません。ページを表示するたびにPHPのコードが動き、サイトの権限で処理を行います。テーマに脆弱性があると、WordPress本体を最新にしていても、サイト全体が影響を受けます。
PHP Object Injectionは、PHPの unserialize 関数のように、受け取ったデータをオブジェクトに戻す処理が入口になります。戻す過程で、クラスに定義された特定のメソッドが自動的に呼ばれます。そのため、戻すデータが外部から来る場合、サイトに含まれる別のコードの動きまで巻き込まれることがあります。
よくある質問
Q.WordPress本体を最新にすれば解消しますか。
Q.テーマの自動更新を有効にしていれば安心ですか。
まだ分かっていないこと
- 修正版の版番号と、ベンダーが修正版をいつ出すか、あるいは出したかは分かっていません。ThemeRExの告知とPatchstackのページで確認してください。
- 実際の攻撃での悪用が確認されているかは、現時点で伝えられていません。悪用の報告が出たら、急ぎ度を見直す必要があります。
- 脆弱性の入口になるテーマ内の機能や、攻撃に使える具体的な条件の詳細は明らかになっていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| ThemeREX | Bonbon |
1.11 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Unauthenticated PHP Object Injection in Bonbon <= 1.11 versions.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web patchstack.com
- web nvd.nist.gov
- web github.com