サイトは直ぐに4.7.2にアップデートするのです!Twitterで大学や国会議員や公的機関のサイトが大量に改ざんされてるという情報を朝から目にした日でした。4.7.2で修正をしたバグが致命的なものだったために直ぐにセキュリティに関わるアップデートの内容を公開せずに1週間後に情報を公開したようです。)そして、それ以降もWordPressをアップデートせずに、4.7、4.7.1のバージョンのままだったサイトが軒並みこのバグを利用されて記事を改ざんされていったと言うのが今回の件のようです。今回の話題になってるバグとは?特定のAPIのURLにPOSTでデータを送るだけで、WordPressのログインも認証もなしに投稿内容を更新することができてしまうというバグ...そしてバグの内容が公開されていて、少しググれば簡単に攻撃スクリプトが解ってしまうというくらい簡単なもの。APIに含まれていたバグ。4.7より古いバージョンのサイトはこの攻撃で改ざんされないっぽい。古いのはあまり良くないけど、結果的に今回は良かったみたいな...ローカル環境で試してみました。>ダッシュボードで確認ができます。人はすぐにアップデートしましょう!バグの具体的な内容はWordPress公式のリリースノートの記事や、そこにある報告者のリンク先の記事内に書かれています。攻撃したいWordPressのサイトのAPIのURLに、改ざんしたい記事の投稿IDを紐付けて、データにタイトルと本文を持たせてPOSTするだけ。)これをリクエストすると...はい。認証も何もなしに記事を書き換えることができました。このAPIを利用して記事を改ざんするとWordPress管理画面から見れる投稿のリビジョンでは、ユーザー名が表示されないようです。試してみた所、HTMLタグも入れ放題なんですよ。攻撃に必要になる「WordPressの投稿ID」なのですが、デフォルトとか多くのテーマだとHTMLタグにid名やclass名で投稿IDが出力されています。コトの重大性に溢れたコメントが並んでいます。マジやばくね?解決方法こちらの記事にあるように、下記の方法を取ればこの致命的なバグには対応することができそうです。APIを無効化するプラグインを使用するそして、可能な限りWordPressの自動更新をONにしておくのが良いのではないかと思いました。私の持っていたサイトの中には更新の通知が来ても実際には更新されなかったサイトもあったので自動更新機能を過信しすぎてもダメかもしれません。改ざんされた記事そのものはリビジョンから直ぐにもとに戻すことが可能です。今回のAPIを利用した攻撃の場合、できても記事のタイトルと本文の更新のようなので記事内にスクリプトやiframe埋め込むことはできると思うのですが、サイトのテーマ自体にコードを追加したり、DBからデータを抜き取ったり、ログイン情報を取得したりとかは難しいのかな〜?と思っているのですが、これは私もハッキリとした事が言えないので、むしろ教えてほしい部分です!!WordPressのような既に多くの人がコミットしているプロジェクトでもこんな重大な脆弱性が発生したりするんだなぁ〜って驚きました。それより、WrodPressのサイトを持っている方は直ぐにチェックしてみることをオススメします。APIのバグを利用しての改竄は観測している中ではISISを中傷する改竄が多かったのですが、中には「私はホワイトハッカーだ。君のサイトのWordPressアップデートした方が良いぞ。」と注意喚起のような記事を改ざんするハッカーも観られるようになってきました。いずれにせよ、改ざんされちゃってるわけですけどね。чайка!無職のデザイナーが描いています。コンポーネント外のDOMに子コンポーネントを追加したい。(2)参加グループプログラミングデザインPHPPythonJavaScriptRubyWordPressCLOSEはてなブログをはじめよう!kikiki-kikiさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。