【CVE-2024-25600】脆弱性はBricks Builder（WordPressテーマ）の一部を通じて認証不要でPHPコードを注入・実行されて、サイト丸ごと乗っ取られる直球RCE脆弱性です。
主にBricks BuilderのBricks WordPress Themeで確認されており、脆弱性へサイバー攻撃をされた場合は適切な対応を行うために専門業者に相談することがおすすめです。
本記事では、【CVE-2024-25600】脆弱性の深刻度・影響を受けるシステムとベンダー情報・想定される被害と対策まで解説します。
| 本ページには広告が含まれています。本コンテンツ経由で商品・サービスの申込みがあった場合、企業から送客手数料を受け取ることがあります。 |
【CVE-2024-25600】脆弱性の概要
【CVE-2024-25600】脆弱性は2024年6月にNDAへ登録された、WordPressのWebサイト構築テーマ「Bricks Builder」（バージョン 1.9.6 以下）から見つかったセキュリティ脆弱性です。WordPressのWebサイトやサーバを対象としています。
現在は、バージョン 1.9.6.1 以降で修正されていますが、Bricks Builderをバージョン1.9.6.1以降に更新すれば基本的に問題になる可能性は低いです。しかし、未更新のままの Web サイトでは、認証不要・外部からのリモートアクセスを介して PHP コードが実行される可能性があり、Web サイトおよびサーバーが攻撃者にシステム制御される恐れがあるので注意が必要です。
出典：NVD
WordPressはオープンソースであるため開発者は自由に修正やカスタマイズが可能です。WordPressを安全に利用するためには、自由度がもたらす脆弱性に適切なセキュリティ対策を立てることが重要です。
以下の記事でWordPressの正しいセキュリティ対策の詳細を解説します。
＞＞WordPressの正しいセキュリティ対策とは？リスクと合わせて解説
【CVE-2024-25600】CVSS による深刻度「緊急」
【CVE-2024-25600】CVSS による深刻度は以下の通りです。
CVSS 3.1 評価指標
| 提供元 | Base Score | 深刻度 | Vector |
|---|---|---|---|
| NVD（NIST） | N/A | 未評価 | – |
| CNA: Patchstack | 10.0 | CRITICAL（緊急） | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
Vector Breakdown（各要素の意味）
| 項目 | 値 | 意味 |
|---|---|---|
| AV（Attack Vector） | N（Network） | ネットワーク経由で攻撃可能 |
| AC（Attack Complexity） | L（Low） | 攻撃は簡単 |
| PR（Privileges Required） | N（None） | 認証不要 |
| UI（User Interaction） | N（None） | ユーザー操作不要 |
| S（Scope） | C（Changed） | スコープ逸脱あり（別権限に影響） |
| C（Confidentiality） | H（High） | 高い情報漏洩リスク |
| I（Integrity） | H（High） | 高い改ざんリスク |
| A（Availability） | H（High） | サービス停止レベルの影響あり |
出典：NVD
【CVE-2024-25600】脆弱性に影響を受けるシステムとベンダー情報
【CVE-2024-25600】脆弱性に影響を受けるシステムとベンダー情報は以下の通りです。
| ベンダー名 | 製品名 | バージョン | 状態 |
|---|---|---|---|
| Bricks Builder | Bricks Builder | ≤ 1.9.6 | 影響あり |
| Bricks Builder | Bricks Builder | ≥ 1.9.6.1 | 修正済み |
【CVE-2024-25600】脆弱性で想定される被害
【CVE-2024-25600】脆弱性で想定される被害は以下の通りです。
Webサイトのシステムを制御される
【CVE-2024-25600】脆弱性を突かれるとWordPressテーマ「Bricks Builder」に存在する設計上の問題により、攻撃者がログイン不要でサーバーに対して任意のコードを実行できる可能性があります。
攻撃が成功すると、リモートから任意のコードを実行され（PHP コード）、Webサイトのコンテンツを自由に改ざんされたり、個人情報や記事データを不正に取得・削除されたりする恐れがあります。
最悪の場合は、Webサイト自体が消失したり、検索エンジンから除外されたりするなど、業務や信用に深刻な影響を与える可能性もあります。
バックドア設置による継続的な侵入経路確保
攻撃者は一度侵入に成功すると、再び簡単にアクセスできるように「バックドア」と呼ばれる不正な仕掛けを残していく傾向があります。
バックドアは様々なファイルに目立たない形で悪意あるコードを埋め込んだり、定期的に外部と通信する仕組みを仕込んだりするもので、表面的な修正やアップデートでは完全に排除できない場合があるので注意が必要です。
ログに含まれる認証情報・機密情報の漏洩
攻撃が成立した場合、盗まれたログを通じて、通信の内容や構成情報、接続履歴など、攻撃者に重要な情報が不正に取得される可能性があります。
特に認証情報や個人データ、設定ファイル内の機密パラメータなどの個人情報が漏洩した際には、組織の信用や事業継続性に多大な影響を及ぼす恐れがあります。
個人情報漏洩への対処法については以下の記事で解説します。
他サイバー攻撃への踏み台
侵害された機器やサーバーは、他組織や他国へのサイバー攻撃の中継点として悪用される可能性があります。踏み台にされたことによって、組織が攻撃の発信源と誤認され、被害や調査対応に追われる事態へ発展する恐れもあります。
サイバー攻撃の種類と対処法の詳細は以下の記事で解説します。
上記のように脆弱性を突くサイバー攻撃を受けると深刻な被害につながる恐れがあります。自力では不十分な対応になる可能性が高いため、脆弱性を突くサイバー攻撃を受けた場合は専門業者に相談してください。
【CVE-2024-25600】脆弱性への対策
【CVE-2024-25600】脆弱性への有効な対策は以下の通りです。
- Bricks Builderを最新版（1.9.6.1以降）に速やかにアップデートし、脆弱性を修正する。
- サーバー内に不審なPHPファイルやWebShellが設置されていないか確認し、不要なファイルは削除する。
functions.phpやwp-config.phpなどの重要ファイルに改ざんがないかハッシュ値などで検証する。- WordPressの管理者アカウントや利用者一覧をチェックし、不審なアカウントがないか確認する。
- 攻撃の痕跡を把握するために、WebサーバやWordPressのアクセスログを分析し、不正アクセスを検出する。
- 今後の被害を防ぐために、REST APIの不要なエンドポイントは無効化または制限しておくことを検討する。
サイバー攻撃の恐れがある場合は専門業者に相談する。
脆弱性にサイバー攻撃をされた場合は、自己対応に限界があるため、どのような情報が漏えいしたかを正確に把握する必要がある場合には、フォレンジック調査によるデータ収集と分析が不可欠です。
フォレンジック調査でできることは以下になります。
- 不審なリモートアクセスのログやマルウェア実行履歴の復元
- 削除・隠蔽されたファイルの復元
- 通信履歴・IPアドレスの追跡による攻撃元の特定
- 漏えいした可能性のあるデータやその範囲の明確化
フォレンジック調査では、パソコンやネットワークの使用履歴、アクセスログ、不審なファイルの痕跡などを専用ツールで解析し、情報漏えいの有無や被害の全容を明らかにします。調査結果は、企業内の対応指針や法的手続きにおいても非常に重要な役割を果たします。
適切な対応で、被害を最小限に抑えるためには専門のフォレンジック調査会社に相談しましょう。
編集部おすすめ調査会社：デジタルデータフォレンジック(おすすめ度)
情報漏洩やサイバー攻撃といった、幅広いインシデントに対してフォレンジック調査を行っている専門会社をご紹介します。
こちらの業者は、相談件数が39,000件を超え、民間の調査会社でありながら官公庁や大手企業との取引実績も多く信頼できるため、幅広い調査に対応していておすすめです。もちろん法人だけでなく、個人のハッキングやサポート詐欺調査などの相談も受け付けています。
まずは無料で相談・見積りまで行ってくれるようなので、不安な方は一度相談してみるとよいでしょう。
| 費用 | ★見積り無料 まずはご相談ください |
|---|---|
| 調査対象 | PC、スマートフォン、サーバ、外付けHDD、USBメモリ、SDカード、タブレット など |
| サービス | 情報漏洩調査、ハッキング・不正アクセス調査、マルウェア・ランサムウェア感染調査、サイバー攻撃被害調査、退職者調査、労働問題調査、社内不正調査、情報持出し調査、横領着服調査、パスワード解除、データ改ざん調査、データ復元、デジタル遺品、離婚問題・浮気調査 など |
| 特長 | ✓累積ご相談件数39,451件以上 ✓国際基準をクリアした厳重なセキュリティ体制（ISO認証、プライバシーマーク取得済） ✓警視庁からの捜査協力依頼・感謝状受領の実績多数 |
デジタルデータフォレンジックは、国内トップクラスの調査力を有しており、累計3万9千件以上の豊富な実績があります。
規模が大きな調査会社でありながら、個人端末のハッキング調査、不正アクセス調査などの実績もあるようですし、24時間365日の相談体制、ニーズに合わせたプランのカスタマイズなど、サービスの利用しやすさも嬉しいポイントです。
ハッキング調査以外にも幅広い調査に対応しているだけでなく、ケースごとに専門チームが調査対応を行っているとのことで、高品質な調査が期待できます。さらに、警察への捜査協力も行っているなど、信頼がおける専門業者です
相談・見積りを“無料“で行っているので、まずは電話かメールで問合せをしてみることをおすすめします。