WordPressは米国時間1月26日、クロスサイトスクリプティング（XSS）脆弱性や、新たな脆弱性を引き起こす可能性のあるSQLインジェクションまわりの不具合など、セキュリティ上の3つの問題に対処した「WordPress 4.7.2」のリリースを発表した。
コンテンツ管理システム（CMS）でもあるWordPressのセキュリティアドバイザリには、このバージョンによって、「WordPress 4.7.1」以前のバージョンに存在する3つの重要なセキュリティ問題が解決されると記されている。
1つ目の問題はAlley InteractiveのDavid Herrera氏によって報告されたものであり、「Press This」機能（ブラウザ上のツールバーを使って投稿を公開できる簡易投稿機能）のタクソノミー語句を割り当てるユーザーインターフェースが、使用権限のないユーザーにまで表示されるという、情報漏えいにまつわる脆弱性だ。
2つ目の問題は研究者のMo Jangda氏によって発見されたものであり、WordPressのコア内に定義されている変数と関数にアクセスするために用いられるWP_Queryプロセスに存在していた。
「安全でない」データが引き渡された場合、WordPressシステムがSQLインジェクション攻撃に対して脆弱なものとなる。
同社のセキュリティチームによると、この脆弱性によってWordPressのコアが直接影響を受けるわけではないが、今回リリースされたパッチを適用することで「プラグインやテーマによって意図せぬ脆弱性がもたらされることを防止」できるようになるという。
新たに発見されたもう1つの問題は、WordPressの投稿リストテーブルを取り扱うクラス内に存在するXSS脆弱性だ。これはWordPressのセキュリティチームによって発見、報告されたものだ。
今回のセキュリティリリースは、遠隔地からの攻撃を可能にするものなど合計8つの問題に対処したWordPressバージョン4.7.1のリリースからわずか2週間しかたっていない。なおバージョン4.7.1では、XSSを許す脆弱性や、PHPMailer内に存在した遠隔コード実行（RCE）脆弱性、情報漏えいに関わる問題、クロスサイトリクエストフォージェリ（CSRF）を許す不具合などに対処していた。
WordPressユーザーは、最新バージョンの4.7.2を手作業でダウンロードするか、CMSダッシュボード上の「Update Now」ボタンをクリックしてアップデートをダウンロードすることができる。また、自動アップデートをサポートしているウェブサイトに向けたロールアウトも開始されている。
提供：CNET
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。
