脆弱性のあるプラグイン:
- Ultimate Addons for Elementor
- Ultimate Addons for Beaver Builder
深刻度レベル: 10
悪用の容易さ: 非常に簡単
脆弱性公開日: 2019-12-11
パッチリリース日: 2019-12-11
修正済みバージョン:
- Ultimate Addons for Beaver Builder – 1.2.4.1
- Ultimate Addons for Elementor – 1.20.1
Ultimate Addons は、WordPress ウェブサイトにアドオンのバンドルへのアクセスを提供する人気のプレミアムプラグインです。特にテクノロジーに詳しくない人にとって、ウェブサイトの作成とデザインをはるかに簡単にします。
このプラグインは、エキスパート開発者である Brainstorm Force によって構築されています。彼らは数十のプラグインを持っており、それらは数千のウェブサイトで使用されています。Ultimate Addons プラグインは Elementor と Beaver Builder の両方で利用可能で、数十万のアクティブインストールがあります。
昨日、定期的なセキュリティ監査中に、私たちのセキュリティ研究者たちは プラグインに脆弱性を発見し、驚きました。 それは 重大な脆弱性 で、プラグインがインストールされているあらゆる WordPress ウェブサイトへの管理者アクセスをハッカーに許可する可能性があります。 つまり、このプラグインを使用している場合、ハッカーはあなたのウェブサイトを完全に制御できる ようになり、あなたのサイトを損傷するために悪意あるファイル (favicon.ico マルウェアなど) を作成できます。
脆弱性を最初に発見した私たちは、独自のデューデリジェンスを行い、Ultimate Addons チームに発見した脆弱性について通知しました。
Brainstorm チームは脆弱性の修正に迅速に対応しました。7 時間以内にパッチをリリースし、すべての顧客に通知しました。
あなたはこの脆弱性の影響を受けていますか？
Ultimate Addons プラグインを使用している場合、直ちに最新バージョンに更新することを強くお勧めします! 脆弱なバージョンは 1.0 です。2019 年 12 月 11 日にリリースされた最新バージョンに更新する必要があります。
- Ultimate Addons for Beaver Builder の場合、安全なバージョンは 1.2.4.1 です。
- Ultimate Addons for Elementor の場合、安全なバージョンは 1.20.1 です。
古いバージョンを使用している場合、あなたのサイトはハッカーに対して脆弱な状態になります。
この脆弱性が悪用されていることをすでに検出しています。あなたのウェブサイトが悪用されたかどうかを確認したい場合は、MalCare セキュリティプラグインを使用してください。サイトをスキャンし、疑わしいまたはハッキング活動を検出します。
脆弱性の詳細
昨日、私たちのチームはウェブサイト間で異常な活動を検知しました。これにより、いくつかのサイトで悪用されていた脆弱性を発見することができました。
私たちが発見した脆弱性は、プラグインをウェブサイトにインストールするとすぐに発生します。ハッカーが WordPress ウェブサイトのユーザーのメール ID を知っている場合、特別なリクエストを作成して管理者権限を取得できます。
脆弱性を悪用するには、ハッカーはサイトの管理者ユーザーのメール ID を使用する必要があります。ほとんどの場合、この情報は比較的容易に取得できます。一部のホスティングプロバイダーは、ウェブサイトの管理者メール ID を簡単に見つけられるようにしています。そのため、潜在的な被害を最小限に抑えるため、ホスティングプロバイダーにも発見を通知しました。
脆弱性の影響: リスクは何か？
もしハッカーがこの脆弱性を発見していたら、数十万の WordPress サイトがハッキングされるリスクにさらされる可能性があります！
ハッカーが管理者アクセスを取得すると、あなたのウェブサイトを何に使うかわかりません。彼らが実行できる一般的な WordPress サイトハックの長いリストがあります:
- データの窃取、
- 訪問者をスパムサイトにリダイレクト、
- 違法薬物や偽造品の販売、
- あなたのサイトを使ってより大きなサイトへの攻撃を開始、
- ブラックハット SEO 技術を使用して自社製品を上位表示 (推奨読み物: 日本語キーワードハック) など。
- あなたのページからスパムサイトへのスパムリンクを挿入
ハッキングされることは、あなたのサイトとビジネスにとって非常に有害です。さらに、復旧コストは非常に速く跳ね上がる可能性があります！
重要: プラグインを今すぐ更新してください！
WordPress サイトで Elementor Ultimate Addons または Ultimate Beaver Builder プラグインを使用している場合、今すぐ更新する必要があります。wp-admin ダッシュボードから行えます。
何らかの理由で wp-admin ダッシュボードから更新できない場合、MalCare セキュリティプラグインのインストールを強くお勧めします。独立した MalCare ダッシュボードから、ウェブサイト上のプラグインを更新または完全に削除できます。
プラグインを手動で更新したい場合、手順は以下の通りです:
- Ultimate Addons for Beaver Builder の最新バージョンをダウンロードするか、Ultimate Addons for Elementor にログインして最新バージョンをダウンロードします。
- ウェブサイトから前のバージョンをアンインストールします。つまり、プラグインを非アクティブ化して削除します。(データは失われません。)
- 先ほどダウンロードした Ultimate Addons の最新バージョンをアップロードしてインストールします。
WordPress ウェブサイトはすでにハッキングされていますか？
すでにハッキングされているか、ハッキングされた疑いがある場合は、MalCare のマルウェア検出と除去サービスを即座に活用することをお勧めします。MalCare セキュリティプラグインをインストールすると、ウェブサイトの徹底的なスキャンが実行されます。マルウェアが見つかった場合、警告されます。オートクリーン機能でハックを即座にクリーンアップできます。
自動プロセスで、ハッキングされたサイトを数分でクリーンアップします。その後、MalCare はこのようなハックから将来も保護し続けます。
推奨読み物: WordPress テーマハックをクリーンアップする方法。
ニュースで話題になっているもう 1 つのマルウェアは WP-VCD マルウェアです。WP-VCD マルウェアを除去する方法についてはこちらのガイドをご覧ください。
セキュリティは継続的な取り組みであり、定期的な監視が必要です。MalCare をフォローして、セキュリティに関する最新情報を入手してください。
