WordPressテーマGamic 1.19以前に認証不要の脆弱性、修正版は未確認
WordPressテーマGamicの1.19以前に、ログインなしで突かれるPHPオブジェクトインジェクションの脆弱性が見つかりました。このテーマを使っているサイトの運営者は、まず導入版を確かめ、ベンダーの修正版を探してください。見つからない間は、テーマの削除か別テーマへの切り替えを検討する段階です。
急ぎ度: 早めに
CVSS v3は9.8で機密性・完全性・可用性のすべてに高い影響がありますが、実際の攻撃で悪用された情報は出ておらず、修正版の有無も未確認のため、至急ではなく早めの対応とします。
関係があるか
WordPressでGamicテーマを導入している組織が対象です。企業の公式サイトやキャンペーンサイトを外部の制作会社に任せている場合も、納品されたテーマの中身を確認してください。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Gamic（ThemeREX製のWordPressテーマ） | 1.19以下 | 不明（ベンダーの告知とPatchstackのページで確認） |
確かめ方
- 1WordPressの管理画面で「外観」から「テーマ」を開き、Gamicが入っているか、版が1.19以下かを見ます。有効化していないテーマも一覧に出ます。
- 2サーバーにシェルでログインできるなら、WP-CLIで導入済みテーマと版を一覧にできます。
- 3複数のサイトを管理している場合は、ステージング環境や過去に作ったサイトにも同じテーマが残っていないかを洗い出します。制作会社に納品物の一覧を確認するのも手です。
何が起きたか
WordPressテーマGamicの1.19以前に、ログインしていない第三者がサイトへ細工したデータを送り込み、サイトの動作を意図しない方向に変えられる脆弱性が見つかりました。種類はPHPオブジェクトインジェクションで、CWE-502（信頼できないデータの復元）に分類されています。
サイトの訪問者から届いたデータを、検証が足りないままPHPのオブジェクトに戻す処理が原因です。復元の途中で、攻撃者が用意した値を持つオブジェクトがサーバー側で動き出します。
CVSS v3のベクターは、機密性・完全性・可用性のすべてが「高」です。情報の漏えい、サイトの改ざん、停止まで含めて想定されています。脆弱性は2026年10月29日に公開され、Patchstackのデータベースに掲載されました。
攻撃の流れ
-
1
公開サイトへ到達
インターネットから、Gamicを使うサイトにアクセスできる状態にあります。
-
2
細工データを送信
ログインせずに、テーマが受け取る入力へ加工したデータを渡します。
-
3
サーバーで復元
テーマが入力を十分に検証しないままPHPのオブジェクトへ戻します。
-
4
意図しない動作
サイトに入っている他の部品の動きと組み合わさり、情報の漏えいや改ざん、停止などが起こりえます。
どう悪用されるか
悪用に認証は要りません。攻撃者はインターネット越しにサイトへ到達できればよく、管理者や利用者に操作をさせる必要もありません。攻撃の複雑さは低く、特別な事前条件はないと評価されています。
うまく悪用されると、サイトのデータの読み取り、書き換え、サービス停止のいずれもありえます。実際にどこまで被害が広がるかは、同じサイトに入っているほかのプラグインやテーマの構成によって変わります。
今すぐやること
-
1
導入版を確認する
全サイトでGamicの有無と版を洗い出します。1.19以下が見つかったものを対応の対象にします。
wp theme list --fields=name,status,version -
2
修正版の有無を調べる
ThemeRExの告知、購入元のマーケットプレイス、Patchstackのページで、1.19より新しい版が出ていないかを確認します。購入テーマは管理画面に更新通知が出ないことがあるため、通知を待たずに自分で探します。
-
3
修正版に更新する
修正版が見つかれば、バックアップを取ってから更新します。子テーマや独自のカスタマイズがある場合は、ステージングで表示と機能を確かめてから本番に反映します。
-
4
不審な痕跡を調べる
更新までの間にサイトが狙われていないかを確認します。見るのは、身に覚えのない管理者アカウント、更新日時が不自然なファイル、テーマに向けた不審なリクエストがアクセスログに残っていないかです。
すぐ更新できないとき
修正版がまだ出ていない場合は、Gamicを使っていないサイトなら、テーマごと削除します。使っているサイトは、別のテーマへ切り替えられるか検討してください。切り替えが難しいときは、WAFを提供しているベンダーに、この脆弱性向けの遮断ルールがあるかを問い合わせます。ルールがあっても効果は製品ごとに異なるため、更新の代わりにはなりません。
背景
WordPressのテーマは見た目を決めるだけの部品ではありません。サイトの表示のたびに動くPHPのコードを含み、独自の設定保存やフォーム処理、外部サービスとの連携まで受け持つものがあります。テーマの脆弱性はそのままサイトの入口の脆弱性になります。
PHPオブジェクトインジェクションは、復元処理だけでは被害が小さいことも多く、サイトに入っているほかのコードの動きと組み合わさったときに深刻になります。同じ環境でもプラグインの構成次第で影響が変わる点が、見積もりを難しくします。外部の制作会社が納品したテーマは更新の担当が曖昧になりやすく、気づかないうちに古い版が残るケースが少なくありません。
よくある質問
Q.WordPress本体とプラグインを最新にしていれば安全ですか。
Q.Gamicを入れているだけで有効化していないテーマも、対応が必要ですか。
まだ分かっていないこと
- 修正版の有無と版番号が分かっていません。ThemeRExの告知とPatchstackのページで更新を確認してください。
- どの機能が入口になるのか、実際にコード実行や情報の漏えいまで至るのかが分かっていません。実際の攻撃で悪用されたかどうかも分かっていません。
- 有効化していないテーマが影響を受けるかどうかも分かっていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| ThemeREX | Gamic |
1.19 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Unauthenticated PHP Object Injection in Gamic <= 1.19 versions.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web patchstack.com
- web nvd.nist.gov
- web github.com