WooCommerceと組み合わせて使う有料プラグイン「WooCommerce Wholesale Lead Capture」の脆弱性が、実際の攻撃に使われていると報じられました。卸売の取引先を登録フォームで受け付けるためのプラグインで、推定の稼働数はおよそ6,000サイトと大きくはありません。それでも取り上げたいのは、修正版が公開されたのが2月20日で、攻撃が目立ちはじめたのが6月以降だったという時間差のほうです。
更新を後回しにしていたサイトが、修正から何か月もたってから狙われる。WordPressの運用ではよく聞く話ですが、今回はその流れがかなりはっきり数字に出ています。
何が起きていたのか
対象は CVE-2026-27540 として登録された脆弱性で、バージョン2.0.3.1以前が影響を受けます。セキュリティ研究者の Teemu Saarentaus 氏が報告し、2.0.3.2で修正されました。深刻度は、Wordfence の評価で CVSS 9.8、CVE を採番した Patchstack の評価で9.0とされています。
Wordfence が9月14日に公開した技術解説によると、同社のファイアウォールはこの脆弱性を狙った攻撃を10万件以上遮断しました。攻撃が集中したのは6月4日から17日にかけてで、7月1日と8月30日にも山があったそうです。BleepingComputer や Infosecurity Magazine がこの報告を取り上げ、修正から約4か月後に悪用が本格化した点を伝えています。
許可する拡張子を攻撃者が決められた
仕組みを見ると、原因はかなり素朴なところにあります。このプラグインは登録フォームのファイル添付を受け付けるために、ログインしていない訪問者でも呼び出せるAJAXの処理(wwlc_file_upload_handler)を持っています。
この処理はアップロードされたファイルの拡張子を「許可リスト」と照合していましたが、そのリストをサーバー側のフォーム設定からではなく、送られてきたリクエストの中身(file_settings というパラメータ)から読み取っていました。つまり攻撃者が自分で「php も許可」と書き添えれば、PHPファイルがそのまま通ってしまうわけです。さらに、WordPress標準のアップロード関数を呼ぶ際にファイル種別の確認を切っていたため、拡張子のチェックが唯一の関門になっていたとされています。
実際の攻撃では、shell.php のような名前のファイルが送り込まれていました。サーバーの情報を表示し、ブラウザから追加のファイルを書き込めるアップロード画面を持つ、いわゆるWebシェルです。一度置かれてしまうと、そこを足がかりに別の不正なファイルを増やされる可能性があります。
ユーザーから届いた値を「設定」として信用してしまうのは、自作のフォーム処理でも起こりうる落とし穴です。問い合わせフォームや応募フォームでファイル添付を受け付けている案件では、許可する形式がどこで決められているかを一度見直しておくと安心です。
有料プラグインの更新が遅れやすい事情
今回の件でもうひとつ考えたいのが、更新の届き方です。公式ディレクトリで配布される無料プラグインと違い、有料プラグインは配布元のライセンス認証を通じて更新を受け取る形が多く、ライセンスの期限切れや認証の外れで、更新通知そのものが管理画面に出ていないことがあります。制作を請け負ったあと、ライセンスの更新が誰の担当なのか曖昧なまま運用が続いているケースも珍しくありません。
また、Infosecurity Magazine は、ファイアウォールのルールは既知の攻撃を止めてくれるものの、プラグイン自体を直すわけではない点を強調しています。セキュリティ系プラグインを入れているから大丈夫、とは言い切れず、脆弱なバージョンが残っている限り、防御の網をすり抜ける手口が出てくれば危険はそのままです。
使っているサイトで確かめたいこと
このプラグインを導入しているなら、まずバージョンが2.0.3.2以降になっているかを確認します。そのうえで、Wordfence は次のような点検を勧めています。
- アップロード用のディレクトリに、見覚えのないPHPファイルや最近作られたPHPファイルがないか
- アクセスログに、admin-ajax.php へ wwlc_file_upload_handler を指定したリクエストが残っていないか
- 管理者一覧に、心当たりのないアカウントが増えていないか
侵入の形跡が見つかった場合は、不審なファイルやアカウントを消すだけでなく、裏口が残っていないかまで確かめる必要があります。BleepingComputer によると、仕込まれた仕掛けをすべて取り除くのは難しいため、安全な時点のバックアップから復元する対応が推奨されています。なお、ログに該当する記録がないことは、無事の証明にはならないとも添えられています。
導入数の少ないプラグインほど話題になりにくく、気づいたときには修正版の公開から時間がたっている、ということが起こりがちです。管理画面に更新通知が出ていないことを「最新の証拠」と受け取らず、配布元の更新履歴と見比べる習慣が、こうした時間差の攻撃に対するいちばん確実な備えになりそうです。
