よく狙われるプラグインの脆弱性１０選(２０２５年３月版)

WPドクターで検出しているもっとも現在よく狙われるプラグインの脆弱性を１０個ご紹介します

１０位　/wp-content/plugins/ZoomSounds/savepng.php 606回の攻撃

この攻撃はファイルもサーバー上にアップロードできてしまうZoomSoundsプラグインの脆弱性を狙ったものです。
このプラグインをインストールしており、脆弱性パッチが当たっていないバージョンを使用し続けている場合、ハッカーがバックドア等のファイルを遠隔でサーバーにアップロードできてしまいます。

　９位　/wp-content/plugins/wp-file-manager/lib/files/wpadmin.php 702回の攻撃

　７位　/wp-content/plugins/wp-file-manager/lib/files/uladmin.php 757回の攻撃

　５位　/wp-content/plugins/wp-file-manager/lib/php/connector.minimal.php 1249回の攻撃

wp-file-managerプラグインは、ワードプレスの管理画面からサイト上のファイル一覧を表示して、ファイルを追加削除できるプラグインですが、複数の危険な脆弱性が古いバージョンにございます。
前述の任意のファイルをサーバーにアップロードできてしまうものもございますので現在でもサイトが改ざんされてしまう原因となることが多いです。
(WPドクターでマルウェア駆除をご依頼いただくクライアント様のサイトで古いwp-file-managerを導入されているサイト様が非常に多いです)

　８位　/wp-content/plugins/vwcleanerplugin/bump.php 723回の攻撃

vwcleanerpluginというプラグインは、公式ワードプレスサイトには存在しません。この攻撃は、他のハッカーが設置した不正なプログラムを再利用しようとして行われている(そのプラグインが存在するかも含めてアクセスをしてみる)タイプの攻撃かと思われます。
このようにサイトにハッカーが侵入して不正なバックドアやツールを設置されてしまうとさらにほかの複数のハッカーがサイトによって攻撃されてしまう事もあります。

　６位　/wp-content/plugins/cherry-plugin/admin/import-export/download-content.php 852回の攻撃

cherry-pluginというプラグインも公式ワードプレスサイトには存在しません。これも前述のvwcleanerpluginと同様の攻撃となります。

　４位　/wp-content/plugins/media-library-assistant/includes/mla-file-downloader.php 2626回の攻撃

media-library-assistantプラグインにも複数の脆弱性がございます。
mla-file-downloader.phpには、ファイルも読み込んで実行してしまうという脆弱性があり、このファイルにインクルードしたい不正なファイルのファイルのパスを渡してサーバー上で実行を試みようとする攻撃となります。

　３位　/wp-content/plugins/dzs-zoomsounds/savepng.php 3801回の攻撃

この攻撃はdzs-zoomsoundsプラグインの脆弱性を利用して、任意の不正なファイルをサーバー上にアップロードしてしまう攻撃となります。

　２位　/wp-content/plugins/apikey/apikey.php 4614回の攻撃

　１位　/wp-content/plugins/ioptimization/IOptimize.php 7797回の攻撃

１位と２位のapikey、ioptimizationというプラグインも公式ワードプレスサイトには存在しません。こちらも前述のvwcleanerpluginと同様の別のハッカーが設置したバックドアを再利用しようとする攻撃となります。

ハッカーは手当たり次第にサイトを攻撃する為、上記のようなアクセスログがあるからと言って攻撃が成功しているとは限りません

ハッカーは手当たり次第に膨大なワードプレスを自動化されたツールで攻撃し、侵入に成功するかどうかを確認するような攻撃の仕方をします。

この為、上記のような攻撃がログに記録されてても必ずしもハッカーがサーバーに侵入できたという事にはなりませんので冷静に行動することが重要です。

メジャーな脆弱性攻撃を防ぐには？

ハッカーが最も好む脆弱性攻撃は、前述のように、他のハッカーが設置したバックドアを再利用するタイプの攻撃か、極めて容易に不正なファイルをサーバー上に設置できる危険度の高い脆弱性攻撃(かつその脆弱性のあるプラグインの普及度が高い)ものとなります。
それぞれについてその対処方法をご紹介いたします。

他のハッカーが設置したバックドアを再利用するタイプの攻撃

この攻撃が成功する脆弱性がサイトに存在しているという事は、すでにサイトがハッキングに成功していて、マルウェアが設置されているという事になります。

ワードプレスサイトのマルウェアを検索・駆除し、最初にハッカーの侵入を許した脆弱性をつぶす必要がございます。
マルウェア検査駆除はプラグインで可能です。一度マルウェア検査をサイトに対して行われることをお勧めいたします。
【無料】ワードプレス:マルウェアスキャン＆セキュリティープラグイン [マルウェア・ウィルス検出と駆除]

危険度の高い脆弱性攻撃

この攻撃が成功するのを防ぐには、常にプラグイン等の脆弱性がないかを調べて、脆弱性があるプラグインが見つかった場合は、脆弱性がないバージョンにプラグインをアップデートするか、そのプラグインの使用停止と削除を行う事となります。

危険な脆弱性は下記のページより検索できます。

ワードプレス脆弱性データベース

また、【無料】ワードプレス:マルウェアスキャン＆セキュリティープラグイン [マルウェア・ウィルス検出と駆除]で脆弱性検査も可能です。

常にサイトのプラグイン等を最新バージョンに保つことも非常に大きなセキュリティー対策となります。
参考
無料でできるワードプレスのセキュリティー対策5選

サイトのアップデートを安全に行ったり、マルウェアを駆除するにはワードプレスの専門家に代行をご依頼いただくこともお勧めいたします。

WPドクターでは経験豊かな技術者によって、年間数百サイトに及ぶマルウェア駆除や安全なアップデートを代行しています。お気軽にご依頼ご相談お送りください。

WordPress ワードプレスのマルウェア駆除や安全なアップデート(セキュリティー対策)のご依頼・ご相談はWPドクターまでお気軽にお送りください