【注意喚起】WordPressの脆弱性について(XSS2Shell)

1. 概要

Webサイトの作成・管理に使われるソフトウェア「WordPress」に脆弱性（XSS2Shell）が公開されました。
WordPressの管理画面にログインした状態で、細工されたURLへアクセスした場合、意図しない操作が実行され、サイトの改ざん等につながる可能性があります。
管理中のWebサイトでWordPressを利用している場合は、利用中のWordPress本体（WordPress Core）のバージョンと
既に本脆弱性による侵害を受けていないか、適切な確認を完了させたうえで、速やかに最新版にバージョンアップを実施してください。

また、影響を受けるバージョンを利用している場合は、速やかに最新バージョンへ更新してください。

2. 影響を受けるWordPressバージョン

4.7.0以上 4.7.34未満
4.8.0以上 4.8.29未満
4.9.0以上 4.9.30未満
5.0.0以上 5.0.26未満
5.1.0以上 5.1.23未満
5.2.0以上 5.2.25未満
5.3.0以上 5.3.22未満
5.4.0以上 5.4.20未満
5.5.0以上 5.5.19未満
5.6.0以上 5.6.18未満
5.7.0以上 5.7.16未満
5.8.0以上 5.8.14未満
5.9.0以上 5.9.14未満
6.0.0以上 6.0.13未満
6.1.0以上 6.1.11未満
6.2.0以上 6.2.10未満
6.3.0以上 6.3.9未満
6.4.0以上 6.4.9未満
6.5.0以上 6.5.9未満
6.6.0以上 6.6.6未満
6.7.0以上 6.7.6未満
6.8.0以上 6.8.7未満
6.9.0以上 6.9.6未満
7.0.0以上 7.0.3未満

3.バージョン確認方法およびバージョンアップ方法

WordPressの公式サポートを受けられるバージョンは最新版のみです。
原則最新版をご利用ください。

(Step1) 管理サイトのWordPressの管理ページにアクセスし、ログインします。

(Step2) ログイン後、左ペインの「更新」をクリックします。

(Step3) 「現在のバージョン」を確認します。
影響を受けるWordPressバージョンではなかった場合は対応不要です。

影響を受けるWordPressバージョンであった場合は、下記画像のような更新ボタンよりWordPressのバージョンを更新して下さい。

4.既に侵害を受けているかの確認方法

• 身に覚えのないログイン履歴がWordPress上にないか確認。
  ※SiteGuard WP Pluginがインストールされている場合、プラグインの「ログイン履歴」より過去のログイン履歴が確認できます
• 身に覚えのないファイルやプラグイン、テーマがWordPress上にないか確認。
• その他、不審なジョブやサービスが実行されていないか確認。

5. 侵害されていた場合の対応

侵害されていたことが確認できた場合、HOSEI-CSIRTへご連絡ください。

6. 本件に関する問い合わせ先

本件に関するセキュリティインシデント発生時は、HOSEI-CSIRTへご連絡ください。