OVERVIEW
2025年3月12日、WordPressプラグイン「All in One WP Migration」において、認証されていないPHPオブジェクトインジェクションの脆弱性が発見されました。
この記事では、All in One WP Migrationプラグインの概要、発見された脆弱性の詳細、影響、そして推奨される対策について解説します。
All in One WP Migrationプラグインとは
All in One WP Migrationは、WordPressサイトのバックアップや移行を簡単に行うことができるプラグインです。
しかし、2025年3月に発見されたPHPオブジェクトインジェクションの脆弱性により、サイトのセキュリティを脅かす可能性が指摘されています。
問題の詳細
All in One WP Migrationプラグイン（バージョン7.89以下）には、以下の脆弱性が存在します。
- CVE-2024-10942: 認証されていない攻撃者が、信頼されていないデータのデシリアライズを通じてPHPオブジェクトを注入することが可能な脆弱性。
この脆弱性により、攻撃者は管理者権限を持たずとも、任意のファイルを削除したり、機密データを取得したり、コードを実行する危険性があります。
影響とリスク
この脆弱性を利用することで、攻撃者は次のようなリスクを引き起こす可能性があります。
- 任意のファイルの削除
- 機密データの不正取得
- 不正なコードの実行
これらの問題は、サイト管理者にとって深刻な影響を及ぼします。
対処方法
- プラグインの更新: All in One WP Migrationを利用している場合、最新のパッチが適用されたバージョンに直ちに更新してください。
- セキュリティプラグインの導入: Wordfenceなどのセキュリティプラグインを活用して、攻撃から保護するファイアウォールルールを有効にしましょう。
- 定期的なチェック: 他のプラグインやテーマにも脆弱性が存在しないか確認し、必要に応じて更新してください。
まとめ
All in One WP Migrationプラグインは、その便利さにもかかわらず、PHPオブジェクトインジェクションの脆弱性が発見されました。この問題を解決するためには、最新のバージョンに更新し、サイト全体のセキュリティを強化することが重要です。
サイトを安全に保つために、他のユーザーにもこの情報を共有してください。
参考：All in One WP Migration <= 7.89 - Unauthenticated PHP Object Injection