Coinpress 1.0.15以前に認証不要の脆弱性、修正版は未確認
WordPressテーマCoinpressの1.0.15以前に、ログインなしで狙える重大な脆弱性が見つかりました。該当テーマを使うWordPressサイトの運用担当者は、まず導入の有無と版を確認してください。修正版の有無がまだ分からないため、使わないテーマは削除し、使うなら公開情報を追って対応を決める流れになります。
急ぎ度: 早めに
CVSS v3は9.8で認証なしにネットワークから狙える重大な脆弱性ですが、実際の悪用を示す情報は見当たらず、修正版も確認できていないため、該当サイトは早めの対処が必要です。
関係があるか
ThemeRExの提供するWordPressテーマCoinpressを導入しているサイトが対象です。外部に公開しているコーポレートサイトやメディアサイトで使っていれば、そのまま影響を受けます。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Coinpress（WordPressテーマ、ThemeREX） | 1.0.15以前 | 修正版は未確認 |
確かめ方
- 1WordPressの管理画面で「外観」の「テーマ」を開き、Coinpressが一覧にあるか、あれば版がいくつかを見ます。有効化していないテーマも一覧に出ます。
- 2WP-CLIが使えるサーバーでは
wp theme listを実行すると、導入済みテーマと版をまとめて確認できます。 - 3子テーマを使っているサイトは、子テーマの親がCoinpressになっていないかを、子テーマのstyle.cssにあるTemplateの行で確認します。
- 4複数サイトを預かっている場合は、サーバー上のwp-content/themes配下にcoinpressというディレクトリがないかを、全サイトで見ておきます。
何が起きたか
WordPressテーマCoinpressの1.0.15以前に、ログインしていない相手からでもサイトの情報の読み取り、書き換え、停止につながりかねない脆弱性が見つかりました。
種類はPHP Object Injectionです。外部から受け取ったデータを、十分に確かめないままPHPのオブジェクトに復元してしまう不備で、分類はCWE-502にあたります。公開は2026年10月29日で、Patchstackのデータベースに掲載されています。
CVSS v3は9.8で、深刻度は重大とされています。
攻撃の流れ
-
1
細工データの送信
ログインしていない相手が、Coinpressの入ったサイトへ細工したデータを送ります。
-
2
テーマが復元
テーマが受け取ったデータを検証せず、PHPのオブジェクトに戻します。
-
3
既存コードの誤動作
サイト上にある既存のコードが、想定外の使われ方をします。
-
4
情報や動作に影響
情報の読み取り、改ざん、サイトの停止などが起こり得ます。
どう悪用されるか
悪用にログインは要りません。インターネットからサイトにアクセスできれば足り、管理者や閲覧者に何かを操作させる必要もありません。CVSSのベクターでも、ネットワーク経由、低い複雑さ、権限不要、利用者の操作不要と評価されています。
悪用されると、機密性、完全性、可用性のすべてに高い影響が出ると評価されています。つまり、サイト内の情報が読まれる、内容が書き換えられる、サイトが止まる、のいずれも想定しておくべき状況です。
PHP Object Injectionの実際の被害は、サイトに入っているほかのテーマやプラグインのコードにも左右されるのが一般的です。同じテーマでも、サイトごとに影響の幅は変わります。
今すぐやること
-
1
導入の有無と版を確認する
管理画面かWP-CLIで、Coinpressが入っているか、版が1.0.15以前かを確認します。複数サイトを運用している場合は、全サイトを対象にします。
wp theme list -
2
修正版の公開を確認し、出ていれば更新する
ThemeRExの告知とPatchstackのページを見て、修正版が出ているかを確かめます。出ていれば、先にバックアップを取り、検証環境で表示を確認してから本番に反映します。
-
3
使っていないCoinpressは削除する
有効化していなくても、ファイルが残っていると影響が出る可能性を否定できません。使っていなければ、無効のまま置かずに削除します。
-
4
不審な兆候がないか見直す
アクセスログに、見慣れない大量のリクエストや、想定外のファイルへのアクセスがないかを確認します。管理者アカウントや投稿内容に覚えのない変更がないかも見ておきます。
すぐ更新できないとき
修正版が出ていないうちは、別のテーマに切り替えてCoinpressを無効にし、そのまま削除する方法が確実です。切り替えると表示が崩れることがあるので、検証環境で確認してから行ってください。切り替えが難しい場合は、WAFで当該サイトへの不審なリクエストを制限し、サイトの公開範囲を絞れるなら、IP制限やBasic認証を一時的にかけます。ただしWAFでこの脆弱性を確実に防げるかどうかは分からないため、補助的な手段と考えてください。
背景
WordPressのテーマは、サイトの見た目を決めるだけの部品ではありません。ページを表示するたびに動くPHPのコードを含み、サイトのデータベースや設定にも手が届きます。テーマの不備がサイト全体に及びやすいのはそのためです。導入後に更新が止まりやすく、版が古いまま残りがちな点も、運用上の弱みになります。
今回の分類であるCWE-502は、外部から来たデータをオブジェクトに復元する処理で起きます。PHPでは、WordPressのテーマやプラグインでこの種の脆弱性が繰り返し報告されてきました。ただし、実際に何が起きるかはサイトに同居するコードに左右されるため、テーマ単体の版を見るだけでは被害の大きさを判断できません。
よくある質問
Q.WordPress本体を最新にしていれば、この脆弱性は防げますか。
Q.子テーマを使っています。対象になりますか。
まだ分かっていないこと
- 修正版の有無と版番号は、いまのところ分かっていません。ThemeRExの告知とPatchstackのページで確認してください。
- 実際の攻撃で悪用された事例があるかどうかは、分かっていません。
- 脆弱な処理にどこから到達できるのか、同居するほかのコードによって被害がどう変わるのかといった技術的な詳細は、分かっていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| ThemeREX | Coinpress |
1.0.15 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Unauthenticated PHP Object Injection in Coinpress <= 1.0.15 versions.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web audit@patchstack.com
- web nvd.nist.gov
- web github.com