STAGGSに認証不要のRCE脆弱性、3.4.0で修正
WordPressプラグインSTAGGSの3.3.0以前に、サーバー上でコードを実行されるおそれのある深刻な脆弱性が見つかりました。使っているサイトは3.4.0へ更新し、複数のサイトを運用しているなら全サイトの版を確認してください。
急ぎ度: 至急
CVSS v3が満点の10.0で、認証なしにネットワーク越しのコード実行につながる一方、修正版の3.4.0がすでに公開されているため、更新するだけで防げます。
関係があるか
WordPressにSTAGGSプラグインを入れて公開しているサイトが対象です。自社のコーポレートサイトだけでなく、制作会社やホスティング事業者に任せているサイトも、プラグインが入っていれば同じ扱いになります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| STAGGS(WordPressプラグイン) | 3.3.0以前のすべての版 | 3.4.0 |
確かめ方
- 1WordPressの管理画面で「プラグイン」の一覧を開き、STAGGSが入っているか、入っていれば版がいくつかを見ます。
- 2WP-CLIが使える環境なら、サイトのディレクトリで
wp plugin get staggs --field=versionを実行すると、導入されている版が表示されます。 - 3複数のサイトを運用している場合は、ステージング環境や、古いまま放置されているサイトも一覧に含めます。有効化していないプラグインも、ファイルが残っていないかを見てください。
何が起きたか
STAGGSは、Webサイトを動かしているサーバー上で、外部の第三者に任意のコマンドを実行されるおそれがある脆弱性を抱えています。3.3.0以前が影響を受け、3.4.0で修正されました。
原因は、コードの一部を外部から届く入力をもとに組み立てる際に、コードの意味を変えてしまう特殊な要素を適切に無害化していないことです。分類はCWE-94（コードインジェクション）で、CVEの記録では「Remote Code Inclusion」を許すと説明されています。
codelake Researchが2026年10月24日に報告し、Patchstackが11月9日に情報を公開しました。CVEは11月11日に公開されています。
Patchstackは、この脆弱性を優先度「High」とし、悪用が広がると見込んでいます。同種の脆弱性は、アクセス数の多寡を問わず、数千のサイトを一度に狙う大規模な攻撃に使われてきたと説明しています。公表から日が浅く、ここに書いた範囲では、実際の攻撃での悪用が確認されたという情報は示されていません。
攻撃の流れ
-
1
対象を探す
インターネットに公開されたWordPressサイトのうち、STAGGSの3.3.0以前を使っているものを見つけます。
-
2
細工した要求
ログインしないまま、脆弱な機能に向けて特別に作った要求を送ります。
-
3
コードが実行
入力がコードの一部として扱われ、サーバー上で攻撃者の指示するコマンドが動きます。
-
4
サイトを掌握
情報の持ち出し、サイトの改ざん、停止などが可能になります。
どう悪用されるか
悪用にログインは要りません。CVSSのベクターでは、ネットワーク越しに攻撃でき、複雑な条件はなく、利用者の操作も不要とされています。Patchstackも必要な権限を「Unauthenticated」と記載しており、世界中のどこからでも、サーバー上で任意のコマンドを実行できると説明しています。
悪用されると、機密性・完全性・可用性のすべてに大きな影響が出ます。サイトの情報が読まれ、内容が書き換えられ、サービスを止められる可能性があります。CVSSでは影響範囲が変わる（スコープ変更）とされており、被害がプラグインの範囲にとどまらず、同じサーバーにあるほかのサイトやデータにも及びうると読めます。
今すぐやること
-
1
STAGGSの導入と版を確認する
管理画面のプラグイン一覧か、WP-CLIで版を確認します。3.3.0以前なら対象です。導入していなければ、この脆弱性の影響はありません。
wp plugin get staggs --field=version -
2
3.4.0以降に更新する
修正版は3.4.0です。更新前にファイルとデータベースのバックアップを取り、更新後にサイトの表示と主要な機能を確認します。複数サイトがあるなら、公開サイトから先に進めます。
-
3
更新できないときは窓口に相談する
制作会社やホスティング事業者に運用を任せている場合は、対象かどうかと更新の予定を、今日中に問い合わせます。Patchstackも、自分で更新できないときはホスティング事業者やWeb制作担当者に頼るよう案内しています。
-
4
更新後に侵害の跡を点検する
公表前から攻撃されていた可能性は否定できません。見覚えのない管理者アカウント、更新日時が不自然なファイル、WordPressのディレクトリに増えたPHPファイル、普段と違うアクセスログを調べます。心当たりがあれば、サイトを止めて調査してください。
すぐ更新できないとき
すぐに更新できない間は、STAGGSを無効化し、サイトの機能に支障がないかを確認しておくと、攻撃を受ける範囲を狭められます。Patchstackは、更新済みの版にするまで攻撃を遮断する緩和ルールを提供しており、これも導入できます。ただし、どちらもつなぎの手段で、更新の代わりにはなりません。
背景
STAGGSはWordPressのプラグインで、WordPress本体とは別に導入・更新されます。本体を最新にしていても、プラグインが古ければ脆弱性は残ります。制作会社が納品したあと、誰も版を見ていないサイトに古いプラグインが残る例は珍しくありません。
Patchstackがこの脆弱性を「大規模攻撃に使われやすい種類」と位置づけているのは、認証が要らず、サイトの知名度に関係なく狙えるためです。今回の公開は10月24日の報告から約2週間後で、修正版は情報公開の時点で用意されていました。
よくある質問
Q.WordPress本体を最新版にしていれば安全ですか。
まだ分かっていないこと
- 脆弱になっている具体的な機能や入力の経路は公表されていません。
- 実際の攻撃で悪用された事例が確認されているかは、示されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| StaggsSTAGGS |
3.3.0 以前→ 3.4.0 |
3.4.0 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Improper Control of Generation of Code ('Code Injection') vulnerability in Staggs STAGGS staggs allows Remote Code Inclusion.This issue affects STAGGS: from n/a through 3.3.0.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web patchstack.com
- web nvd.nist.gov
- web github.com