第31回　2017年2月～Wordpress脆弱性とMicrosoftアップデート2月繰り延べの件

この2月は、セキュリティ的に見ても非常に脅威となる事象がいくつも見られました。

今回はその中から、Wordpress脆弱性と、2017年2月のMicrosoftの定例アップデートが中止になった件を取り上げます。

REST APIの不具合により、Wordpressのコンテンツが容易に改ざんされる脆弱性

本件は、2017年1月に修正されたWordpressの脆弱性に係る話なのですが、この脆弱性、2月になって公開された概要がかなり強烈なものでした。

この脆弱性は、Wordpress 4.7で標準搭載されたREST APIにあります。

REST API自体はこれまでもプラグインで準備されていましたが、標準搭載されたREST APIに不具合があり、改ざんを可能とする脆弱性につながったというわけです。

そしてこの脆弱性の困ったところは、「⁠認証なく」「⁠既存のコンテンツを改ざんできる」というところにあります。

これだけ容易な改ざんを、攻撃者がほうっておくわけがなく、実際に多数の改ざんが発生しています。

現時点でも、相当数のサイトが古いWordpressで動作しているという情報もあります。対策は（今更書くのもどうかと思うのですが）Wordpress自体のバージョンアップです。

自身のサイトがどのバージョンで動作しているか？を把握の上、必要なアップデートは適宜適用してください。

2017年2月のMicrosoftの定例アップデートですが、多くの利用者に対する影響を考慮して、3月のアップデートでまとめて対応するという決定を行いました。

Microsoftからのアップデートを適用した後に、システムに不具合が発生するということはたまにありましたが、今回の定例アップデートは見送られました。

ただし、Adobe Flash Playerのセキュリティ更新プログラムは、脆弱性を突かれる危険性が高いからか、定例外になったものの公開しています。これが、（⁠少し公開が遅くはなりましたが）一部の緊急アップデートに相当します。

2月14日に、Microsoftの定例アップデートで配信される以外の更新は、Adobeから公開されています。このアップデート内容を解析して攻撃コードを作成する懸念もあることから、定例外ではあるもののAdobe Flashの更新を公開したのは、良い判断と言えます。