本文へ移動
English version →
ログイン 新規登録
JA EN FR
SecPulse
重大 9.8 急ぎ度: 至急

Pie Register Premiumに未認証でコード実行される脆弱性

WordPress用プラグインのPie Register Premiumに、ログインなしでサーバーを乗っ取られかねない脆弱性が見つかりました。会員登録やログイン画面にこのプラグインを使っているサイトの運営者は、まず版を確認してください。修正版の有無はベンダーの告知で調べ、直せないあいだはプラグインを止めて被害を防ぎます。

CVE-2026-84999 公開 生成 AI で作成
記事のイメージ(生成 AI による画像)
画像は生成 AI で作成したイメージです

急ぎ度: 至急

CVSS v3は9.8で、認証なしにネットワーク越しで悪用でき、遠隔コード実行まで進みうる一方、修正版の情報は確認できていないためです。

関係があるか

WordPressにPie Register Premiumを入れ、会員登録・ログイン機能をインターネットに公開している組織が対象です。会員サイト、コミュニティ、社内向けポータルなどが当てはまります。

製品影響を受ける版直った版
Pie Register Premium（WordPressプラグイン） 3.8.4.0以下のすべての版 確認できていません。ベンダー（pieregister.com）の告知で確認してください

確かめ方

  1. 1WordPressの管理画面で、プラグインの一覧を開き、Pie Register Premiumの版が3.8.4.0以下かどうかを見ます。
  2. 2WP-CLIを使える環境では、wp plugin list | grep -i pie で導入の有無と版を確認できます。
  3. 3複数のWordPressを運用している場合は、検証用・休眠中・委託先が管理しているサイトも含めて、すべてのサイトで確認します。
  4. 4利用していないのにプラグインのファイルだけが残っていないかも、サーバー上で見ておきます。

何が起きたか

Pie Register Premiumの3.8.4.0までのすべての版に、ログインしていない相手が、PHPスクリプトなど実行されうる種類のファイルをサーバーに置ける脆弱性があります。置かれたファイルが実行されると、サイトのサーバー上で任意のコードを動かされます。

このプラグインを使い、外部に公開しているサイトは、公開直後でも探索の対象になると考えて、先に手を打っておくほうが安全でしょう。

問題は、ファイルを受け付ける処理のpiereg_file_uploadにあります。この処理はwp_check_filetypeとwp_check_filetype_and_extでファイルの種類を検査しますが、検査がエラーを返したかを確かめないままmove_uploaded_file() を呼びます。検査が形だけになっているわけです。

さらに、このAJAXの処理にはnonceの検証も権限の確認もありません。しかも応答には保存後のファイル名が含まれるため、置いたファイルを呼び出すための場所が、相手にそのまま伝わります。

分類はCWE-434（危険な種類のファイルの無制限アップロード）で、CVSS v3は9.8です。CVE-2026-84999として2026年10月28日に公開されました。

攻撃の流れ

  1. 1

    対象サイトを探す

    インターネットに公開されたWordPressで、Pie Register Premiumを使うサイトが見つけられます。

  2. 2

    ファイルを送る

    ログインなしで、アップロード処理に実行可能なファイルを送ります。

  3. 3

    保存先を知る

    サーバーの応答に、保存されたファイル名が含まれます。

  4. 4

    ファイルを実行

    置かれたファイルにアクセスして、サーバー上でコードを動かします。

  5. 5

    サイトを掌握

    改ざんや情報の持ち出し、ほかのシステムへの足がかりに使われます。

公開されている情報をもとにした流れの例です。

どう悪用されるか

悪用に認証は要りません。ネットワークからサイトに到達できれば足り、管理者や一般ユーザーの操作も必要としません。攻撃の複雑さは低いと評価されています。

CVSSのベクターでは、機密性・完全性・可用性のすべてが高と評価されています。実行されたコードはWebサーバーの権限で動くため、WordPressの設定ファイルに書かれたデータベースの接続情報や、データベース内の会員情報を読まれるおそれがあります。ページの書き換えや、サーバーを別の攻撃の踏み台に使われることも想定されます。

今すぐやること

  1. 1

    導入の有無と版を確認する

    管理するすべてのWordPressで、Pie Register Premiumが入っているか、版が3.8.4.0以下かを調べます。

    wp plugin list | grep -i pie
  2. 2

    修正版の告知を確認して更新する

    ベンダーのサイトで修正版が出ているかを確かめます。出ていれば、検証したうえで速やかに更新します。更新の前にサイトとデータベースのバックアップを取ります。

  3. 3

    不審なファイルとアクセスを調べる

    アップロード先のディレクトリに、本来あるはずのないPHPファイルがないか確認します。公開以降のWebサーバーのログで、アップロード処理への不審なリクエストと、直後の見慣れないファイルへのアクセスも見ます。

    find wp-content/uploads -name "*.php"
  4. 4

    見つかったら被害を想定して動く

    不審なファイルが見つかったら、サイトを切り離して調査します。データベースの接続情報、WordPressの管理者パスワード、設定ファイル内のキーを入れ替えます。

  5. 5

    使っていないなら削除する

    利用していないPie Register Premiumは、無効化にとどめず、ファイルごと削除します。

すぐ更新できないとき

修正版をすぐ当てられないときは、Pie Register Premiumを無効化するのが最も確実です。会員登録を止められない場合は、WAFで、未ログインの相手からのファイルアップロード処理への要求を遮断してください。併せて、アップロード先のディレクトリでPHPが実行されないよう、Webサーバーの設定で制限します。ただし、いずれもプラグインの不備そのものは直さないため、修正版が出るまでのつなぎとして使います。

背景

Pie Registerは、WordPressに会員登録・ログイン・プロフィール管理の画面を加えるプラグインです。会員サイトや有料コミュニティの入口にあたるため、未ログインの訪問者の入力を受ける処理が、もともとインターネットに公開されています。今回の問題は、この公開された入口のうちファイル受け付けの処理で、検査と認可の両方が抜けていたことにあります。

WordPressのプラグインでは、アップロード機能の検査が不十分なために、サーバーにWebシェル（遠隔操作用のスクリプト）を置かれるという型の脆弱性が、かねて知られています。今回も、ファイル種別を調べながらその結果を使わなかったことが原因で、同じ型に当たります。

よくある質問

Q.修正版に更新すれば、すでに侵入されていても安心ですか。
A.更新しても、先に置かれたファイルや作られたアカウントは消えません。公開以降にアップロード先へ不審なPHPファイルが置かれていないか、ログに不審なアクセスがないかを調べてください。痕跡があれば、サーバーを作り直し、認証情報を入れ替えるところまで進めます。

まだ分かっていないこと

  • 修正版が公開されているか、公開されているならどの版かは、確認できていません。ベンダーの告知（pieregister.com）で確認してください。
  • 実際の攻撃で悪用されたかどうかは、公表されていません。
  • 無料版のPie Registerや、ほかの製品が影響を受けるかは、分かっていません。

この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。

影響パッケージ

種類パッケージ影響を受ける版直った版
Pie Register Pie Register Premium
3.8.4.0 以前
—
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。

The Pie Register Premium plugin for WordPress is vulnerable to Unrestricted File Type Upload in all versions up to, and including, 3.8.4.0 via the piereg_file_upload function. This is due to the plugin performing file type validation via wp_check_filetype and wp_check_filetype_and_ext but never checking whether those validation calls produced errors before move_uploaded_file() is called, combined with no nonce or capability check on the AJAX handler. This makes it possible for unauthenticated attackers to upload files of dangerous types (e.g. PHP scripts) that may be executable, which makes remote code execution possible. The server returns the generated destination filename in the response, giving the attacker the exact path needed to trigger the uploaded file.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory

参照URL

当サイトでは、アクセス解析と広告の効果測定のために Cookie を使います。株式会社Game のサイト共通の設定です。 詳しく