WordPress 7.1.4で修正されたRCE、公開後24時間で約6.3万件の攻撃試行──更新の確認とwp-content/upgradeの点検を

WordPress 7.1.4で修正されたコア本体のリモートコード実行（RCE）の脆弱性に対して、公開直後から攻撃の試みが大量に観測されています。セキュリティ企業Wordfenceは、7.1.4が出た10月28日から24時間で62,969件の攻撃試行をブロックしたと伝えられています。

7.1.4そのものの内容は「WordPress 7.1.4」セキュリティリリースの記事で紹介しました。今回はその後に分かってきた「実際に攻撃されている」という点を整理します。

どんな脆弱性か

• WordPressが本体の更新（フルパッケージ）を行うとき、ファイルをwp-content/upgrade以下の一時ディレクトリに展開します。この場所が予測しやすく、ホスティングによってはWebから到達できる点が問題です。
• この一時ディレクトリにはインストーラーも含まれており、タイミングよく呼び出されるとPHPコードの実行につながる恐れがあります。
• 記事では認証不要と説明されています。ただし、クリーンアップまでの数秒間を狙う必要があり、攻撃の難易度は高いとされています。そのため攻撃側は何度も繰り返しアクセスしてきます。
• 報告者はUmut Bayram氏、CVSSは8.1、影響範囲はWordPress 4.7〜7.1.3です。CVE番号は、報道の時点では割り当てられていません。

攻撃の状況

• Wordfenceのファイアウォールルールが有効になってから、最初の一致は9分後でした。
• 最初の21時間では、一時展開されたsetup-config.phpを狙うリクエストが18,500件超ありました。
• 大規模な2つの発信元が、少数のサイトに約14.5時間も繰り返しアクセスし続けたと報じられています。
• 現時点で、侵害に成功した例は報告されていません。あくまで「攻撃の試み」です。

運営者がやること

1. 管理画面の「ダッシュボード」→「更新」で、WordPressが7.1.4（または使用中のブランチの修正版）になっているかを確認する。自動更新が終わっているとは限りません。
2. wp-content/upgradeの中に、見覚えのないPHPファイルが残っていないか確認する。
3. 可能なら、サーバーやCDNの設定でwp-content/upgradeへのWebアクセスを遮断してから更新する。
4. 見覚えのない管理者アカウントやプラグインが増えていないかも見ておく。
5. Wordfenceを使っている場合は、Extended Protectionが有効かを確認する。有料版は公開から数時間で保護ルールを受け取りましたが、無料版への配信は11月27日の予定と報じられています。

なお、ファイアウォールの保護は更新の代わりにはなりません。まずは本体の更新を済ませてください。日本のレンタルサーバーでも、本体の自動更新が止まっている例は珍しくないため、画面で数字を見て確かめるのが確実です。

出典: Techaeris「WordPress RCE Flaw Draws Nearly 63,000 Attack Attempts」／SecurityWeek「Fresh WordPress Vulnerability in Attackers’ Crosshairs」