HomeNewsSecuritySecurity plugin flaw in millions of WordPress sites gives admin access A critical authentication bypass vulnerability has been discovered impacting the WordPress plugin 'Really Simple Security' (formerly 'Really Simple SSL'), including both free and Pro versions. Really Simple Security is a security plugin for the WordPress platform, offering SSL configuration, login protection, a

WordPressのオープンソース開発プロジェクトであるWordPress.orgの所有者でAutomatticのCEOでもあるマット・マレンウェッグ氏の発言をきっかけに、WordPress.orgならびにAutomatticがウェブホスティングサービスを提供するWP Engineと激しい論争を繰り広げ、争いの舞台はついに法廷にまで発展しています。そんな中、WordPress.orgに14年以上にわたって貢献してきたエンジニアのクリス・ウィーグマン氏が、WordPressとの決別を宣言しました。 So Long WordPress - Chris Wiegman https://chriswiegman.com/2024/10/so-long-wordpress/ ウィーグマン氏はセキュリティ技術企業のSuperFileでエンジニアリング担当バイスプレジデントを務めています。同時に14年以

WordPress向けセキュリティプラグイン・Wordfenceを開発しているDefiantが、本物のWordPressプラグインを装いつつさまざまなタスクを実行できる、高度なバックドアとして機能するマルウェアの存在を明らかにしています。 Backdoor Masquerading as Legitimate Plugin https://www.wordfence.com/blog/2023/10/backdoor-masquerading-as-legitimate-plugin/ New WordPress backdoor creates rogue admin to hijack websites https://www.bleepingcomputer.com/news/security/new-wordpress-backdoor-creates-rogue-admin-to

コンテンツ管理システム(CMS)として知られるWordPressが、「究極のセキュリティと永続性を求める人向け」として、新たに「100年プラン」を発表しました。その名前の通り、100年にわたってデジタルコンテンツを守っていってくれるプランだとのことです。 The 100-Year Plan on WordPress.com https://wordpress.com/100-year/ Introducing the 100-Year Plan: Secure Your Online Legacy for a Century – WordPress.com News https://wordpress.com/blog/2023/08/25/introducing-the-100-year-plan/ ドメインは最も価値のあるデジタル資産であるということで、100年プランでは、まるまる1世

人気料理YouTuber・リュウジ氏監修の食品を販売するサイトが不正アクセスにより改ざんされ、ウイルスを含むサイトにリダイレクトされていた問題をめぐり、WordPressのセキュリティが議論になっている。 リュウジ氏は「ランディングページのWordPressがハックされたので、よりセキュリティが高いBASEに移行した」と告知したのだが、「WordPressも適切に運用すればセキュリティは高い」などの反論が、ITに詳しい一部のフォロワーから届いていた。 リュウジ氏はTwitterで253万フォロワー、YouTubeで390万フォロワーをかかえる人気の料理研究家。冷凍のカレーソースやパスタソースのWeb販売も人気を集めている。 6月1日、カレーソースの販売ページが、ウイルスを含むサイトにリダイレクトされていた。ページ構築に使っていたWordPressが攻撃されたことが原因という。 リュウジ氏は

Sucuriは1月30日(米国時間)、「WordPress Vulnerability & Patch Roundup January 2023」において、2023年1月に明らかになったWordPressの脆弱性およびセキュリティパッチの情報について伝えた。SucuriはWebサイト所有者に対して新たな脅威を把握し、対処してもらえるよう1か月間のWordPressエコシステムの重要なセキュリティアップデートと脆弱性パッチの一覧をまとめて公表している。 WordPress Vulnerability & Patch Roundup January 2023 今月は20個の脆弱性とその緩和策が紹介されている。セキュリティリスクが「重要(High)」が2、「警告(Medium)」が16、「低(Low)」が2となっている。 今月の主な脆弱性およびその緩和策は次のとおり。 [重要(High)] CV

Sucuriは1月19日(米国時間)、「Vulnerable WordPress Sites Compromised with Different Database Infections」において、WordPressのWebサイトに対して展開されている2つのインジェクション攻撃型マルウェアについて伝えた。 Vulnerable WordPress Sites Compromised with Different Database Infections それぞれ無関係な目的を持っている2つのマルウェアが1つのWordPressサイトに感染していることが、Sucuriの調査により判明した。どちらもインジェクション攻撃を実行するよう設計されている。一方はユーザーをスパム的なスポーツサイトにリダイレクトさせるコードを注入するインジェクション攻撃とされ、他方は違法カジノサイトを検索エンジンでのオーソ

Innovative Tech： このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 ロシアのアンチウイルス製品を開発するDoctor Webは、WordPress CMSをベースとしたWebサイトをハッキングする悪意のあるLinuxプログラムを発見したと発表した。 Linuxマルウェアが複数の古いWordPressプラグインやテーマに存在する30の脆弱性を悪用して、悪意のあるJavaScriptを注入していた。その結果、ユーザーが感染ページの任意の領域をクリックすると、他のサイトにリダイレクトされる被害が起きていたという。 このマルウェア（トロイの木馬）は32ビットと64ビットの両方のLinuxシステムをターゲットにしており、そのオペレーターにリモートコマンド機能を与える

JPCERT/CCは11月8日、CMSの「WordPress」に複数の脆弱性が見つかったとして最新版へのアップデートを呼び掛けた。影響度を示すCVSS v3のベーススコアは最大6.1。悪用されると、WordPressで運用するWebサイトの閲覧者が攻撃を受けたり、記事投稿者のメールアドレスを盗まれたりする恐れがある。 影響を受けるのはWordPress 6.0.3より前のバージョン。クロスサイトスクリプティングの脆弱性（CVE-2022-43497、CVE-2022-43500）、不適切な認証の脆弱性（CVE-2022-43504）が見つかった。 クロスサイトスクリプティングは、Webサイトの脆弱性を突いて攻撃スクリプトを設置し、閲覧者に悪影響を与える攻撃手法。今回の脆弱性を悪用されると、閲覧者のWebブラウザで攻撃スクリプトが実行されたり、メールを使って記事を投稿する「メール投稿」機能を

Sucuriは9月29日(米国時間)、「WordPress Vulnerability & Patch Roundup September 2022」において、2022年9月に明らかになったWordPressの脆弱性およびセキュリティパッチの情報について伝えた。SucuriはWebサイト所有者に対して新たな脅威を把握して対処してもらうよう、1カ月ごとにWordPressエコシステムの重要なセキュリティアップデートと脆弱性パッチの一覧をまとめて公表している。 WordPress Vulnerability & Patch Roundup September 2022 今月は27個の脆弱性とその緩和策が紹介されている。セキュリティリスクが「警告(Medium)」が16、「低(Low)」が11となっている。9月のセキュリティリスクに「緊急(Critical)」および「重要(High)」は報告され

セキュリティ企業のMalwarebytesは2022年7月19日（現地時間）、同社のブログでCMS「WordPress」におけるページビルダープラグイン「Modern WPBakery」に脆弱（ぜいじゃく）性（CVE-2021-24284）が見つかったと伝えた。 Malwarebytesは、CVE-2021-24284を悪用するとWebサイトの制御権が乗っ取られる危険性があり、この脆弱性を突いたサイバー攻撃の増加を観測したと指摘している。同社はModern WPBakeryのユーザーに向けて迅速にアンインストールすることを推奨している。

Defiantは月18日(米国時間)、「Critical Privilege Escalation Vulnerability in Jupiter and JupiterX Premium Themes」において、WordPressのJupiterテーマ、JupiterXテーマ、JupiterXコアプラグインに複数の脆弱性が存在すると伝えた。これら脆弱性を悪用されると、ログインしているすべてのユーザーが管理者特権を簡単に取得することができるとされており注意が必要。Defiantはただちに最新バージョンへアップデートすることを強く推奨している。 Critical Privilege Escalation Vulnerability in Jupiter and JupiterX Premium Themes 脆弱性が存在するとされるプロダクトおよびバージョンは次のとおり。 Jupiterテ

「WordPress“1000倍”高速化」チューニング 第一弾──「PHP 5.6」「OPCache」「APCu」を導入する：とにかく速いWordPress（5）（1/2 ページ） エンタープライズ用途での利用が増えている「WordPress」の高速化チューニングテクニックを解説する本連載。今回から数回にわたって、前回の5.4倍を大きく上回る「1000倍高速化」までチューニングするテクニックをお届けします。 連載バックナンバー 前回は、Amazon Web Services（以下、AWS）の仮想クラウドサーバ「Amazon Elastic Compute Cloud（Amazon EC2）」上のCentOS 7にインストールしたWordPressを題材に、「5.4倍速くする」テクニックを解説しました。具体的には、CentOS 7の標準のリポジトリのみを用いて、gzip圧縮、Tuned、Ap

以下は、Matt Mullenweg が書いた WordPress.org 公式ブログの記事、「Moving Toward SSL」を訳したものです。 誤字脱字誤訳などありましたらフォーラムまでお知らせください。 私たちは今、大きな岐路に立っています。2017年には、WordPress がホスト上で HTTPS を利用できるようにする機能を実装する年になるでしょう。よりスムーズなユーザーエクスペリエンスを実現するためには JavaScript が必要不可欠であることと同じく、パフォーマンスや SSL にはよりモダンな PHP バージョンは重要です。 SSL とは基本的に、ブラウザとサーバー間の接続が暗号化されていることを意味します。 SSL は以前は実装が難しく、高価だったり遅かったりすることがよくありました。モダンブラウザと、Let’s Encrypt のようなプロジェクトの驚くべき成功

Webサイトのポルノスパム感染被害が5月末ごろから急増している。WordPressのモバイル対応プラグイン「WP Mobile Detector」の未解決の脆弱性が悪用されていたことが分かった。 Webサイトのモバイル対応に使われるWordPress向けプラグイン「WP Mobile Detector」の脆弱性を突く攻撃が横行していたことが分かり、この問題を修正する更新版が6月2日に公開された。 セキュリティ企業Sucuriの2日付ブログによると、Webサイトのポルノスパムの感染被害が5月末ごろから急増し、原因を調べたところ、被害に遭ったWebサイトはいずれもWP Mobile Detectorを使っていたことが判明した。同プラグインに任意のファイルをアップロードできてしまう脆弱性があることが分かった。 脆弱性は、信頼できないソースからの入力内容を検証できていなかったことに起因する。「al

WordPressには数多くのテーマファイルがありますが、それらとは少し違ったアプローチのテーマ「Layers」を紹介します。 ページ作成にはHTML/CSSの知識は不要で、レイアウトやウィジェットを組み合わせてかっこいいページを直感的に作成できます。 Layers Layers -GitHub ライセンスはGPL 2.0 Licenseで、商用利用、修正、配布などが無料で行えます。 通常のテーマファイルはデザインが完成していて、画像やテキストを配置しますが、Layersはベースとなるレイアウトが数種類あり、そこにコンポーネントやウィジェットを自由に組み合わせてページを作成します。 ページのデザインを見ながらカスタマイズできるテーマという感じです。 組み合わせるのは簡単で、下記ページで動画で公開されています。