Good Homesテーマに認証不要で悪用できる脆弱性、修正版は要確認
WordPressテーマ「Good Homes」の1.3.13以下に、深刻度がcriticalと評価された脆弱性が見つかりました。このテーマを使うサイトの管理者は、まず導入している版を確認してください。そのうえでベンダーの案内から修正版の有無を調べ、見つからなければ別テーマへの切り替えを検討します。
急ぎ度: 早めに
CVSS v3が9.8と最高水準で、全版が対象ですが、実際の悪用を示す情報と修正版の公開は確認できていないため、「至急」ではなく「早めに」と判断しました。
関係があるか
ThemeRExのWordPressテーマ「Good Homes」を使っている公開サイトが対象です。自社の制作物だけでなく、制作会社に任せたサイトや、子テーマの親として入っている場合も確認が必要です。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Good Homes(ThemeREXのWordPressテーマ) | 1.3.13以下 | 不明。ベンダーの配布ページとPatchstackの解説ページで確認してください |
確かめ方
- 1WordPressの管理画面で「外観」の「テーマ」を開き、Good Homesが入っているか、版がいくつかを見ます。有効にしていないテーマも一覧に出ます。
- 2サーバーにWP-CLIがあれば、
wp theme listでテーマと版の一覧を取れます。 - 3子テーマを使っている場合は、親テーマがGood Homesかどうかも見ます。
- 4制作会社や運用委託先が管理しているサイトは、テーマ名と版を問い合わせて確認します。
何が起きたか
WordPressテーマGood Homesの1.3.13以下に、外部から届いたデータをもとにPHPのオブジェクトを組み立ててしまう脆弱性があります。
分類はCWE-502で、信頼できないデータを復元する際の検証が足りない種類のものです。深刻度はcritical、CVSS v3は9.8です。2026年10月29日に公開され、Patchstackのデータベースにも解説ページがあります。
この種の脆弱性では、細工されたデータを復元させられると、プログラムが想定しないオブジェクトが作られます。実際にどこまでの被害になるかは、同じサイトに入っているテーマやプラグインのコードの内容にも左右されます。
攻撃の流れ
-
1
対象を探す
Good Homesを使っている公開サイトが、ネットワーク越しに狙われます。
-
2
データを送る
ログインなしで、テーマが受け付ける入力に細工したデータが送り込まれます。
-
3
オブジェクト化
テーマが入力を十分に検証しないまま、PHPのオブジェクトとして復元します。
-
4
サイトに影響
情報の閲覧、改ざん、サイトの停止につながるおそれがあります。
どう悪用されるか
悪用にログインは要りません。インターネットから届く通信だけで成立し、利用者やサイト管理者の操作も必要ありません。CVSSの評価でも、攻撃の複雑さは低いとされています。
悪用された場合、機密性・完全性・可用性のいずれにも高い影響が出ると評価されています。具体的には、サイト内の情報の読み出し、コンテンツやファイルの書き換え、サイトの停止が想定されます。
今すぐやること
-
1
導入しているか、版はいくつかを確認する
管理するWordPressサイトを洗い出し、Good Homesの有無と版を確認します。有効にしていないテーマも対象に含めます。
wp theme get good-homes --field=version -
2
修正版の有無をベンダーの案内で調べる
ThemeREXの配布ページとPatchstackの解説ページで、1.3.13より新しい版が出ているかを確認します。出ていれば、修正版に更新する対象になります。
-
3
バックアップを取ってから更新する
テーマの更新で表示が崩れることがあるため、ファイルとデータベースを保存してから更新します。可能なら先に検証環境で表示を確かめます。
-
4
使っていないGood Homesは削除する
有効にしていないテーマでも、ファイルが残っていると影響の有無を判断しにくくなります。使わないなら削除します。
-
5
更新後にアクセスログと管理画面を見る
公開から更新までの間に、見覚えのないファイルや管理者アカウント、設定の変更がないかを確認します。
すぐ更新できないとき
修正版が見つからない、または更新に時間がかかるときは、別のテーマに切り替えてGood Homesを削除するのがもっとも確実です。すぐに切り替えられない場合は、利用しているWAFやホスティング事業者に、この脆弱性への対応状況を問い合わせてください。サイトの公開を一時的に止められるなら、それも選択肢です。
背景
WordPressのテーマは、サイトの見た目だけでなく、表示の流れを制御するPHPのコードも含みます。そのコードは、WordPress本体やほかのプラグインと同じ権限で、同じサイトの中で動きます。テーマに問題があれば、その影響はサイト全体に及びます。
PHP Object Injectionは、外から届いたデータをPHPのオブジェクトに戻す処理で検証が足りないときに起きる脆弱性です。実際の被害は、そのサイトに入っている別のコードの内容で決まります。そのため、テーマ単体では影響が小さく見えても、プラグインの多いサイトでは深刻になる場合があります。有償で配布されるテーマは、管理画面の自動更新に乗らないことがあり、更新が後回しになりがちです。
よくある質問
Q.Good Homesの子テーマを使っています。影響はありますか。
まだ分かっていないこと
- 修正版の版番号と、その公開状況は公表されていません。ThemeREXの配布ページとPatchstackの解説ページで確認してください。
- 実際の攻撃で悪用された事例があるかどうかは、公表されていません。
- どの入力が入口になるか、また具体的にどこまでの被害が出るかは、公表されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| ThemeREX | Good Homes |
1.3.13 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Unauthenticated PHP Object Injection in Good Homes <= 1.3.13 versions.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web patchstack.com
- web nvd.nist.gov
- web github.com