【続報】wp2shell、実際の悪用が本格化しCISAも緊急対応リストへ｜パッチ済みでも侵入痕跡の確認を

「まだ実害は確認されていない」——先日そうお伝えしたWordPressコアの脆弱性「wp2shell」ですが、その猶予はもう終わりました。金曜の夜以降、実際の攻撃が本格的に始まっています。複数のセキュリティ企業が、ウェブシェルの設置とバックドア管理者アカウントの作成を確認。米国土安全保障省傘下のCISAは、この脆弱性を「悪用確認済み」の緊急対応リストに追加し、米連邦機関に7月24日までの対応を義務付けました。それでもなお、世界で数千万サイトが未対応のまま残っていると推定されています。

何が起きたのか

セキュリティ企業watchTowrの主任研究者は、「UTC時間の土曜早朝には、公開された攻撃コードを使ったハッシュ化された認証情報の窃取が、既に本格化していた」と説明しています。その後、さらに詳しい技術情報が公開されるにつれ、リモートコード実行まで踏み込んだ攻撃が続いています。攻撃者は、侵入したサイトにウェブシェル（遠隔操作用のバックドア）を設置し、さらに新しい管理者アカウントを作成して、正規の管理画面からもサイトを制御できる状態にしているとのことです。

脅威インテリジェンス企業VulnCheckは、7月19日（日曜）時点で、少なくとも24種類以上の異なる攻撃コード（PoC）を確認したと発表しています。攻撃手法が1種類ではなく、既に多様化・拡散している段階に入っている、ということです。

サイト運営者だけでなく、訪問者にも影響が及ぶ

ここで見落とされがちな視点があります。今回の脆弱性は「自分のサイトが乗っ取られる」問題であると同時に、そのサイトを訪れた一般の閲覧者にも影響が及ぶという点です。セキュリティ企業Malwarebytesが指摘するように、乗っ取られたWordPressサイトは、詐欺・認証情報の窃取・マルウェア配布・悪意ある転送の”配信拠点”に変えられてしまいます。つまり、自分のサイトが直接の標的でなくても、乗っ取られた他社サイトを閲覧しただけで被害に遭うリスクがある、ということです。

サイト運営者側の対策としては、これまでお伝えしてきたバージョン確認に加えて、既に侵入された痕跡がないかの確認も重要になってきています。具体的には、見覚えのない管理者アカウントが作成されていないか、不審なファイルが設置されていないかのチェックです。攻撃が本格化した今、パッチを当てただけでは不十分なケースが出てきています。

まとめ

WordPressサイトの緊急セキュリティ点検・侵入調査のご相談はお気軽にどうぞ。