WordPressの人気プラグインに致命的な脆弱性が見つかる…　約数十万サイトが攻撃を受ける

WordPressの「File Manager」プラグインに、リモートでコードが実行できるようになる脆弱性が発見されました。
この脆弱性を突けば、データを盗んだり、サイト自体を破壊したり、有害なコードを埋め込んだりすることが可能で、影響を受けるWordPressサイトは35万以上に及びます。

File Managerは、ファイルやフォルダの編集・削除・アップロード・ダウンロード・圧縮・コピー・貼り付けがWordPress上だけで全てできるというプラグイン。
導入するとFTP不要でファイル・フォルダ操作が可能となる、70万ダウンロードを超える人気プラグインの1つです。

File Managerに新たに発見された脆弱性は、認証されていないユーザーでも保護されていないファイルをアップロードできるというもの。
この脆弱性を利用すれば、バックドアとして機能するWebshellが埋め込まれたファイルをアップロードすることで、
File Managerがインストールされたディレクトリ下の「plugins/wp-file-manager/lib/files/」のコマンドを実行可能であるため、
攻撃者はこのディレクトリに悪意のあるphpファイルをアップロードして実行することで、WordPressブログを自由に改変しています。

実際に、セキュリティ企業のWordfenceは、過去数日間で45万回以上の攻撃をブロックしたと報告しており、想像を超える速度で攻撃が広まっていると指摘されています。

35万以上のWordPressサイトに影響を与える重大な脆弱性が発見される、数日で45万回以上の攻撃が行われたという報告も
https://gigazine.net/news/20200903-wordpress-file-manager-vulnerability/