Gunslingerテーマに認証不要の脆弱性、1.11以前が対象
WordPressのテーマGunslingerの1.11以前に、ログインなしで外部から狙えるPHP Object Injectionの脆弱性が見つかりました。このテーマでサイトを運用している組織が対象です。まず使っているかどうかと版を確認し、修正版の案内を待たずに退避も含めて検討してください。
急ぎ度: 早めに
CVSS v3は9.8で、認証なしにネットワークから狙える評価ですが、悪用の確認や修正版の版番号は分かっていません。
関係があるか
ThemeRExのGunslingerテーマを有効化している、または子テーマの親として使っているWordPressサイトが対象です。自社の公式サイトだけでなく、制作会社が構築したキャンペーンサイトや別ドメインのサイトも洗い出してください。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Gunslinger（ThemeREX） | 1.11以下 | 修正版の版番号は公表されていません |
確かめ方
- 1WordPressの管理画面で「外観」の「テーマ」を開き、Gunslingerが入っているか、版が1.11以下かを確認する
- 2サーバー上の
wp-content/themes/gunslingerの有無を確認する。無効化していても、ディレクトリが残っていれば確認対象にする - 3子テーマを使っている場合は、子テーマの
style.cssにあるTemplate:の行を見て、親がgunslingerかどうかを確認する - 4マルチサイト構成や、制作会社に任せているサイトも含め、サイトごとに同じ確認をする
何が起きたか
WordPressテーマのGunslingerに、外部から送られたデータをサイトが安全でない形で復元してしまう脆弱性があります。1.11以前が対象で、悪用されるとサイトの機密性・完全性・可用性のすべてに深刻な影響が出うる評価です。
分類はPHP Object Injectionで、CWE-502（信頼できないデータのデシリアライズ）に当たります。PHPのオブジェクトとして復元される内容を外部から左右できると、サイト内のクラスの動きを意図しない形で呼び出せてしまいます。
情報は2026年10月29日に公開されました。出どころはPatchstackの脆弱性データベースです。
攻撃の流れ
-
1
外部から到達
インターネットに公開されたGunslinger搭載のサイトに、ログインなしで接続します。
-
2
細工データ送信
テーマが受け取るデータに、復元されるオブジェクトの内容を指定する値を紛れ込ませます。
-
3
オブジェクト復元
サイトが検証なしにデータを復元し、攻撃者の指定した内容のオブジェクトが生成されます。
-
4
意図しない動作
サイト内のコードが想定外の動きをし、情報の読み取り、改ざん、停止につながるおそれがあります。
どう悪用されるか
認証は要りません。ネットワーク越しに到達でき、攻撃の複雑さは低く、利用者の操作も要らないと評価されています。管理者がログインしていなくても、サイトがインターネットから見える状態であれば狙われる可能性があります。
悪用された場合、評価上は情報の漏えい、データの改ざん、サービス停止のいずれも高い影響とされています。この種の脆弱性では、実際にどこまで及ぶかが、サイトに読み込まれているクラスや他のプラグインの構成に左右されます。そのため、同じ1.11以前でもサイトごとに被害の幅が変わりえます。
今すぐやること
-
1
対象の有無と版を確認する
管理画面またはWP-CLIで、Gunslingerが入っているサイトと版を洗い出します。制作会社が管理するサイトも、問い合わせて一覧にしてください。
wp theme list --fields=name,status,version -
2
修正版の有無をベンダー情報で調べる
ThemeRExの告知とPatchstackのページで、修正版が出ているかを確認します。出ていれば、テスト環境で表示を確かめたうえで、バックアップを取って本番に適用します。
-
3
修正版が無ければ退避を決める
サイトの運用上すぐに更新できない、または修正版が見つからない場合は、別のテーマへの切り替えを検討します。判断が済むまで、対象サイトを一覧で管理し、状況を担当者間で共有しておくと追跡しやすくなります。
-
4
公開後の不審な変化を点検する
10月29日の公開以降に、管理者アカウントの追加、テーマやアップロード先ディレクトリへの不審なファイルの出現、見覚えのない更新がないかを見ます。
すぐ更新できないとき
修正版を当てられない間は、Gunslingerを使うのをやめるのが確実です。別のテーマに切り替え、使わないなら wp-content/themes/gunslinger ごと削除してください。無効化しただけではファイルがサーバーに残り、到達できる場合があるためです。切り替えでレイアウトが崩れるサイトは、公開範囲を絞る、メンテナンス表示にするなどの措置も選択肢です。バックアップは削除前に必ず取ってください。
背景
WordPressのテーマは見た目のテンプレートというだけでなく、PHPのコードを含み、サイト本体と同じ権限で動きます。テーマ側にデータの扱いの不備があれば、WordPress本体を最新にしていても影響を受けます。テーマは管理画面のプラグイン一覧に出ないため、更新の棚卸しから漏れやすい点にも注意が要ります。
PHP Object Injectionは、外部から渡された値をPHPのオブジェクトに戻す処理で起きる脆弱性です。危険度は、そのサイトに読み込まれているクラスの組み合わせで大きく変わります。CVSSが9.8と高く出ていても、実際の被害の形は環境によって異なります。
よくある質問
Q.WordPress本体を最新にしていれば影響を受けませんか。
Q.すでに悪用されていないかは、どう調べればよいですか。
まだ分かっていないこと
- 修正版の版番号と、修正版が出ているかどうかは公表されていません。ThemeRExの告知とPatchstackのページで確認してください。
- 実際の攻撃で悪用されたかどうかは公表されていません。また、このテーマ単体でコード実行などどこまでの被害に至るかも明らかにされていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| ThemeREX | Gunslinger |
1.11 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Unauthenticated PHP Object Injection in Gunslinger <= 1.11 versions.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web audit@patchstack.com
- web nvd.nist.gov
- web github.com