WordPress 4.6 においてPHPMailer の脆弱性により遠隔から任意のコードが実行されてしまう脆弱性（Scan Tech Report）
WordPress の特定の 1 バージョンに加えて、Exim4 がメール送信ソフトとして用いられている Web サーバが影響を受けるという、影響範囲が限定的な脆弱性ではありますが、WordPress の普及度を考慮すると、社会的影響度が高い脆弱性であると考えられます。
脆弱性と脅威
エクスプロイト
世界的に利用されている CMS ソフトウェアである WordPress に、値検証不備を悪用して、PHPMailer に存在する既知の脆弱性 (CVE-2016-10033) を悪用した、遠隔からの任意のコードが実行可能となる脆弱性が報告されています。攻撃者に当該脆弱性を悪用されてしまった場合は、WordPress を実行しているアカウントの権限でホストに侵入され、情報漏洩やファイルを改竄されてしまう可能性があります。WordPress で作成された Web サイトを運用している場合は、WordPress のバージョンを確認しアップデートすることで、脆弱性に対策してください。
----------------------------------------------------------------------
◆分析者コメント
WordPress の特定の 1 バージョンに加えて、Exim4 がメール送信ソフトとして用いられている Web サーバが影響を受けるという、影響範囲が限定的な脆弱性ではありますが、WordPress の普及度を考慮すると、社会的影響度が高い脆弱性であると考えられます。脆弱性を悪用する手順が容易であることから、WordPress を用いているサイトに対して、攻撃者が積極的に悪用を試みる脆弱性であると考えられます。WordPress を用いた Web サーバを運用している場合は、運用している WordPress のバージョン情報を確認し、早急に対策してください。
関連記事
Scan PREMIUM 会員限定記事
もっと見る-
研修・セミナー・カンファレンスDNS over HTTPS はインターネットの良心を破壊するか？ ポール・ビクシー講演
Farsight SecurityのCEO ポール・ビクシー氏が、DNS over HTTPS（DoH）について講演した。DoHは、いくつかのブラウザで実装が進み、試験運用などがスタートしているが、DNSの権威であるビクシー氏はどう考えているのだろうか。
-
サイント岩井博樹の 2019 年全体総括 ほか [Scan PREMIUM Monthly Executive Summary]
2019 年は全体的なサイバー攻撃傾向として、サプライチェーンや取引先を通じたサイバー攻撃事案が多く確認されました。包括的なサイバーセキュリティ対策が世界的に求められていますが、その責任範囲を示すものが無い上、現実的な対応にも限界が見られました。
-
ロボット三原則、銀河帝国の興亡 ～ 生誕１００年 アイザック・アシモフの残した今も生きる警鐘（The Register）
新年のお祭り気分がおさまった頃、大勢の科学ファン、SFファンが、その界隈の巨匠であるアイザック・アシモフの生誕100年に祝杯を上げた。
-
OpenBSD において動的ライブラリの読み込み時の検証不備により管理者権限が奪取可能となる脆弱性（Scan Tech Report）
OpenBSD に、動的ライブラリの偽装により、管理者権限で任意のコードが実行可能となる脆弱性が報告されています。
ソース・関連リンク
カテゴリ別新着記事
脆弱性と脅威 記事一覧へ
OracleがJavaをアップデート、ライセンス変更にも注意（IPA、JPCERT/CC）
マイクロソフトが1月のセキュリティ情報を公開、早急に適用を（IPA、JPCERT/CC）
Intelが複数の製品に対するアップデートを公開（JVN）
複数のCDNに、サイト閲覧者に攻撃が行われる脆弱性（JVN）
「非公開」動画も公開、「TikTok」の脆弱性を発表（チェック・ポイント）
「Junos OS」に複数の脆弱性、アップデートを呼びかけ（JVN）
インシデント・事故 記事一覧へ
「ダートバイクプラスオンラインストア」に不正アクセス、最大3,103件のカード情報が流出の可能性（ダートフリーク）
「ペットハグサイト」不正アクセスでカード情報流出、決済停止後も偽の決済フォームへ誘導（ペットハグ）
県立総合療育センターで医療費の請求書類を誤送付、マニュアル遵守せず（鳥取県）
県立佐渡高等学校で誤って別の保護者にマイナンバー漏えい（新潟県）
委託先企業の業務用PCが遠隔操作攻撃で操作不能に（荏原製作所、イディア）
不正アクセスで会員情報流出の「宅ふぁいる便」、3月末でサービス終了へ（オージス総研）
調査・レポート・白書 記事一覧へ
「改ざんサイト」は2019年8月から急増、検索結果から誘導（デジタルアーツ）
セキュリティソフトに「防御率の高さ」と「動きの軽快さ」の改善を期待（NTTコム オンライン）
企業のメールセキュリティは改善傾向、特に送信元ドメイン認証で顕著（デージーネット）
ドイツBSIの産業用制御システムのセキュリティ10大脅威を翻訳して提供（IPA）
日本セキュリティ監査協会が選ぶ2020セキュリティ10大トレンド（JASA）
少数ながら、APTグループ「Emmissary Panda」に類似した攻撃を検知（ラック）
研修・セミナー・カンファレンス 記事一覧へ
「自分たちの方が顧客に付加価値を提供できる」PCI DSS 準拠のための脆弱性スキャンとペネトレーションテスト内製化を実現 ～ スマート・ツー株式会社
DNS over HTTPS はインターネットの良心を破壊するか？ ポール・ビクシー講演
「子供とネットについて考える！」をテーマにネット安全安心全国推進フォーラムを開催（文部科学省）
子どものネット依存に悩む家族が相談し交流（KENZAN）
若者向け悪質商法被害防止共同キャンペーン「若者トラブル110番」を開催（さいたま市）
「野蛮さ」に見え隠れする「洗練」、ベネズエラ軍翻弄したサイバー「マチェーテ（山鉈）」とは
製品・サービス・業界動向 記事一覧へ
BAシステムへのサイバーフィジカルセキュリティ対策に向けた実証実験開始（パナソニック、東京建物）
トレンドマイクロの制御システム向けセキュリティ製品を販売（TED）
上野宣はなぜ株式会社Flatt Securityの社外取締役に就任したのか
セキュリティ関連機器・システム・サービス市場、引き続き堅調な伸び（富士経済）
シマンテックのサイバーセキュリティサービス事業を買収（アクセンチュア）
NetStare SuiteのアラートをChatworkに通知可能に（セキュアヴェイル、Chatwork）
おしらせ 記事一覧へ
ScanNetSecurity 創刊21周年御礼の辞（上野宣）
編集部海外取材土産プレゼント 2019
![[鋭意準備中] ScanNetSecurity に夏を告げる紳士を取材しました ～ Black Hat USA 2019 の見どころ 画像](/imgs/std_m/28068.jpg)
[鋭意準備中] ScanNetSecurity に夏を告げる紳士を取材しました ～ Black Hat USA 2019 の見どころ
毎月初に配信されている Scan PREMIUM Monthly Executive Summary とは？ 執筆者に聞くその内容と執筆方針
![[配信予告] ＣＳＩＲＴの終焉？ 平成最後のリスクテイク、桜の名所であの純愛カップルが撮影敢行 画像](/imgs/std_m/27120.jpg)
[配信予告] ＣＳＩＲＴの終焉？ 平成最後のリスクテイク、桜の名所であの純愛カップルが撮影敢行
