知って得するセキュリティのはなし その272
WordPressプラグイン「LiteSpeed Cache」に致命的な脆弱性…500万以上のWebサイトに影響の恐れ
1.このニュースをざっくり言うと
- 8月21日(現地時間)、WordPress向けセキュリティプラグイン「Wordfence」を提供するDefiant社より、WordPressのサイト高速化機能を提供するプラグイン「LiteSpeed Cache」に脆弱性(CVE-2024-28000)が存在するとして注意喚起が出されています。
- 脆弱性はLiteSpeed Cacheのバージョン6.3.0.1以前に存在し、外部の攻撃者に管理者権限を奪取され、最悪の場合サイトの乗っ取りに繋がり得るとされています。
- 既に脆弱性を修正したバージョン6.4がリリースされており、アップデートが強く推奨されています(8/29時点の最新バージョン6.4.1でもさらなるセキュリティアップデートが行われている模様です)。
2.執筆者からの所感等
- LiteSpeed CacheはWebサーバー「LiteSpeed」と同じ開発元の提供で、LiteSpeed(商用版)あるいはOpenLiteSpeed(オープンソース版)上のWordPress向けの独自の高速化機能の他、Apache・nginx等といった他のWebサーバーでも動作する高速化機能も提供し、500万以上のアクティブなWordPressサイトで利用されているとのことです。
- 脆弱性の悪用により、攻撃者がWordPressサイトのユーザーとしてログインできない場合でも、ブルートフォース(総当たり攻撃)を行い、管理者ユーザーを不正に作成することが可能とされています。
- WordPressでは、本体からサードパーティー製のプラグインに至るまで日々何らかの脆弱性が報告されており、インストールしているプラグイン全てについて随時セキュリティ情報を確認しつつ、最新バージョンに保つよう留意すること、またWordfence等セキュリティ機能を提供するプラグインについても、数多く提供されているものから選択の上、必ず導入することが重要です。
