8万4000超のWebサイトに乗っ取りのリスク　WordPressプラグインの脆弱性、確認とアップデートを 述べ8万4000を超えるWebサイトで利用されているWordPressプラグインに乗っ取りの脆弱性が存在することが明らかになった。攻撃が成功するには管理者の操作が必要になるためハードルは高いと見られているが、成功した場合にはサイトの乗っ取りが可能であることから注意が必要だ。

オープンソースのブログソフトウェアであるWordPressが、「最悪」などと酷評を受けているGoogleの新広告API「FLoC」をセキュリティ上の懸念事項として扱い、「自動的に無効化する」という措置を講じると発表しました。 Proposal: Treat FLoC as a security concern – Make WordPress Core https://make.wordpress.org/core/2021/04/18/proposal-treat-floc-as-a-security-concern/ WordPress to automatically disable Google FLoC on websites https://www.bleepingcomputer.com/news/security/wordpress-to-automatically-dis

Defiantは2月8日(米国時間)、「Severe Vulnerabilities Patched in NextGen Gallery Affect over 800,000 WordPress Sites」において、WordPressのプラグイン「NextGen Gallery」に脆弱性が存在すると伝えた。このプラグインには2つのクロスサイトリクエストフォージェリ（CSRF）の脆弱性が存在するとされており、最終的にサイトの乗っ取り、悪意あるリダイレクト、スパムインジェクション、フィッシング詐欺などに悪用される可能性があるとされており注意が必要。 脆弱性が存在するとされるプロダクトおよびバージョンは次のとおり。 NextGEN Gallery 3.5.0よりも前のバージョン 脆弱性が修正されたプロダクトおよびバージョンは次のとおり。 NextGEN Gallery 3.5.0 Seve

WordPressの次期バージョンとなるWordPress 5.7では、ワンクリックでHTTPからHTTPSへの移行が可能になる。WordPress Tavernが2月2日(米国時間)の記事「WordPress 5.7 Will Make It Easier to Migrate From HTTP to HTTPS – WordPress Tavern」において伝えている。新バージョンでは、ユーザーのホスティング環境がHTTPSをサポートしている場合にそれを検出し、ワンクリックで内部の設定やコンテンツをHTTPS対応に書き換えることが可能になるという。 現在HTTPで稼働中のWordPressをHTTPSへ移行するには、サイトのアドレスを「https」に書き換えるだけでなく、既存のコンテンツへの参照URLをすべて更新する必要がある。自動的に変換したい場合は、コアUIでは不十分で、WP-C

無料SSL Let’s Encrypt Let's Encryptなら無料で簡単に独自SSLがご利用できます。

Wordfenceのブログにて、WordPressのプラグインFile Managerに存在していたゼロディ脆弱性と攻撃の悪用情報が明らかになりました。 wordfence.com 当該脆弱性のパッチは、昨日、2020年9月1日(現地時間)に公開されたとのことですが、アクティブインストールの数も700,000件を超えており、早急なバージョンアップが推奨されています。 当記事では、脆弱性に関する情報と周辺情報をまとめ、公開します。 目次 脆弱性の概要と影響範囲 利用状況と日本ユーザへの影響予測 WordPress運用者へのススメ まとめ 脆弱性の概要と影響範囲 Wordfenceの脅威インテリジェンスチームの発表によると、WordPressのプラグインFile Managerにゼロディ脆弱性が存在し、すでに攻撃への悪用を確認しているとのことです。 脆弱性の影響は以下です。 認証されていないユ

WordPressやJoomlaといったCMSを運用している場合、「Brain Food」と呼ばれるPHPベースのマルウェアに感染していないかどうか調べたほうがよいかもしれない。Proofpointはこのほど「Brain Food botnet gives website operators heartburn｜Proofpoint」において、過去4カ月で5000以上のサイトがBrain Foodに感染していることを発見したと伝えている。 「Brain Food」はPHPを使って開発されたボットネット・マルウェア。ダイエットサプリやスマートドラッグの販売を行うサイトへ被害者を誘導し、拡散は短縮URLを含んだシンプルなメールを送信するというスパムキャンページンが使われているという。メールにはタイトルがなく、短い挨拶文のあとに短縮URLが掲載されている。 Brain Foodで使われた短縮UR

【概要】 WordPressに、リモートよりサービス妨害(DoS)攻撃が可能な脆弱性が発見されました。 この脆弱性は、WordPress内のPHPがXMLを処理する際の処理に不備が存在するため、リモートよりサービス妨害(DoS)攻撃を受ける問題が起こります。 これにより、攻撃者はリモートからサービス妨害(DoS)攻撃を行うことが可能になります。それにより、利用者がWebサービスに接続し難くすることが可能です。 今回、この脆弱性の再現性について検証を行いました。 【影響を受ける可能性があるシステム】 ■WordPress – WordPress 3.5から3.9.2未満のバージョン 【対策案】 WordPress.orgより、この脆弱性を修正するプログラムがリリースされています。 当該脆弱性の修正を含む最新のバージョンを適用していただくことを推奨いたします。 WordPress > 日本語

コンテンツは現場にあふれている。会議室で話し合うより職人を呼べ。営業マンと話をさせろ。Web 2.0だ、CGMだ、Ajaxだと騒いでいるのは「インターネット業界」だけ。中小企業の「商売用」ホームページにはそれ以前にもっともっと大切なものがある。企業ホームページの最初の一歩がわからずにボタンを掛け違えているWeb担当者に心得を授ける実践現場主義コラム。 宮脇 睦（有限会社アズモード） 世界的に利用されているブログツール「WordPress」への不正アクセスが頻発しています。当社においては、WordPressを利用しているサイト、すべてが攻撃されていました。幸いにもクラッキングは免れましたが、そのたびに対策に追われます。 他のCMSも標的となり得ますが、今やWordPressはブログツールのトップシェアといって過言ではなく、CMS的なアプローチも充実しています。個人はもとより、企業でもWord

A8.net（エーハチネット）は、アフィリエイトにおいての業界最大手のアフィリエイト・サービス・プロバイダー（以下、ASP）です。初心者でも安心して利用できます。 このASPは大手企業の広告が多数登録されており、登録され […]

WordPressのメールマガジン配信用プラグイン「MailPoet」に深刻な脆弱性が見つかり、修正のための更新版が7月1日にリリースされた。 MailPoet（wysija-newsletters）はWordPressを使っているWebサイトでメールマガジンの配信や管理ができるプラグイン。日本語にも対応している。ダウンロード件数は170万回を超えている。 脆弱性を発見したSucuriによると、標的とするWebサイトにリモートから任意のファイルをアップロードできてしまう脆弱性が存在し、このプラグインを有効にしているWebサイト上で悪用される恐れがある。 例えば攻撃者がPHPファイルをアップロードして、被害者のWebサイトをフィッシング詐欺に使ったり、迷惑メールを送信したり、マルウェアを拡散させたりすることが可能だという。 脆弱性は更新版の「MailPoet 2.6.7」で修正された。Suc

皆様はじめまして、モリイです。本業ではWordPress専用のセキュリティ診断サービスを運営しています。 さて、ご存知の方も多いとは思いますが、WordPressは攻撃者によく狙われます。 その理由の1つは高い導入率です。LIGブログでも以前こちらの記事「みんなは知ってる？WordPressの特徴と人気の理由を分析してみた」で紹介されていたように、世界で一番人気のCMSです。WordPressで作成されたサイトは世界中に9000万以上あると言われており、悪意を持っている人物にとっては格好のターゲットです。 また、WordPressだけではなく、CMS一般、例えば、Drupal、EC-CUBEなどにも言ることですが、構造がパターン化されており、そのCMSを利用しているということが一目でわかる、ということも攻撃される理由に挙げられます。 そこで、サイト管理者は攻撃者からサイトを守らなければいけ

とある非営利団体のweb masterになって３日目。 wordpressで作った新サイトがハッキングされました（涙目） 私が作ったサイトではなく、ちょっとセキュリティが甘かったので、管理をひきついですぐに、とりあえずadminアカウントは消したのだけど、簡単に破られました。 理由は、新しく作ったアカウントのニックネーム（web表示名）が、ログインアカウントと同じだったから（爆） wordpressは、デフォルトで「投稿者名」のページを作ります。同じ投稿者が投稿した記事を集めるページです。 で、ここに表示されるニックネームが、ログインで使うログインアカウントと同じだと、外部にログインアカウントを公表しているのと同じことに！ 私もうっかりして、ニックネームを変えるのを忘れていたんですが、コレ、ひとこと注意書きがあってもいいよね……（汗） ただ、今回のハック、なんかちょっとへんな感じで、新しく

最近、大規模なWordPressのサイトの乗っ取りが発生しました。今回の原因はWordPressではなくサーバの設定に問題があったようですが、LAMPサーバの設定を正しく行うのは難しいですし、ApacheやPHP、WordPressのバージョンアップをきちんと行っていくのは、結構大変です。 自分でサーバを運用していて、セキュリティ対策をきちんとしていると言える人は、実はあまり多くないのでは無いでしょうか？プラグインなどを複数導入している場合には、それらのプラグインのセキュリティ対策を行うのはかなり難しいといえます。 そんな中、高セキュリティ環境でWordPressを運用する方法はないのか考えてみました。それにはサーバ上でアプリを動かさないのが一番では無いでしょうか？ 私のブログであれば、Voteなど動的な機能は使っていないので、WordPressのデータから静的なHTMLを生成して、Ama

それは数日前のこと。iPhoneに届いたメールの通知を見て気がつきました。メールはその後も続き、何やら見慣れないユーザー名でWordPressへのログインを何度も試されているようでした。 『これがブルートフォースアタックなのか！？』と思いつつ、事前対策以外にも新たな追加対策も必要と考え行ったこと、事の顛末をまとめておきます。

既に報道されているように、ロリポップ！レンタルサーバーに対する改ざん攻撃により、被害を受けたユーザー数は8428件にのぼるということです。ここまで影響が大きくなった原因は、報道によると、(1)「WordPressのプラグインやテーマの脆弱性を利用」し、不正なファイルがアップロードされた、(2)パーミッション設定の不備を悪用されて被害が拡大した、ということのようです。 29日夜の時点では、攻撃者の改ざん手法について「WordPressのプラグインやテーマの脆弱性を利用」し、不正なファイルがアップロードされて「wp-config.phpの」の設定情報が抜き出されたと説明していたが、30日午後7時過ぎの説明で、この脆弱性が侵入経路となって同社のパーミッション設定の不備を悪用されたことが原因だったことを明らかにした。 「ロリポップ」のWordPressサイト改ざん被害、原因はパーミッション設定不備