世界中に普及しているブログプラットフォーム「WordPress」を乗っ取る概念実証コードが公開された。
この概念実証コードは、クロスサイトスクリプティング（XSS）攻撃を実施するものであり、攻撃者がこれを悪用すれば、パスワードの変更や新たなアカウントの作成によって、WordPressを実行しているサーバ全体を乗っ取ることも可能だ。
こうした攻撃は、WordPressのコメント欄にコードを注入し、その後大量のテキスト（64Kバイト超）を追加することで可能になる。WordPressのデフォルト設定では、ユーザーの最初のコメント投稿は承認されるまで公開されない。このため攻撃者は何の変哲もないコメントを最初に書き込んで管理者を騙し、自動承認されるようにしたうえで、悪意のあるコメントを書き込むことになる。
影響を受けるWordPressのバージョンは3.9.3、4.1.1、4.1.2、最新版の4.2だ。
セキュリティ企業Klikki Oyに勤務し、フィンランドを拠点に活動するJouko Pynnönen氏は、同社のサイトでこの概念実証コードを解説している。この攻撃手法はつい最近公開、対処された類似の攻撃を応用したものとなっている。
Pynnönen氏によると、同氏は2014年11月以来WordPressと連絡を取ろうとしてきたが「一切のコミュニケーションを拒絶された」ため、この脆弱性の公開に踏み切ったという。
WordPressは米国時間4月27日、「深刻な」セキュリティアップデートとして「WordPress 4.2.1」を公開し、この問題に対処した（なお米ZDNetが同日、WordPressに電子メールでコメントを求めたが、回答は得られなかった）。
提供：Ingvar Bjork/stock image
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。
