WordPressプラグイン「File Manager」の脆弱性と対応方法

最終更新日: 2022/02/05

2020年9月1日、WordPressのプラグインである「File Manager」に脆弱性が発見されました。脆弱性を悪用した攻撃を受ける可能性があります。影響範囲や対応方法をご紹介します。

File Managerとは？

File Managerとは、ファイルやフォルダの操作がWordPress上でできるプラグインです。

ファイルやフォルダの編集/削除/アップロード/ダウンロード/圧縮/コピー/貼り付けが可能です。

700,000以上のWordPressにインストールされています。

どのような脆弱性か？

第三者が保護されていないファイルにアクセスし、コマンドを実行することで悪意のあるPHPファイルをアップロードすることが可能になりました。

この脆弱性が悪用されると、データを盗まれたり、サイトを改変される可能性があります。

対応方法

2020年9月1日、この脆弱性を修正したバージョン6.9が公開されています。

File Managerを有効化している場合、対応方法として次の通りです。

• 最新版の6.9に更新する
• 不要な場合はプラグインを削除する

脆弱性を悪用した攻撃を受けた場合

「/wp-content/plugins/wp-file-manager/lib/files」ディレクトリ配下に、下記ファイルが設置されている場合、攻撃されている可能性が高いです。

• hardfork.php
• hardfind.php
• x.php

上記に該当する場合、WordPressを再インストールし、管理ユーザーやデータベースのパスワードを変更してください。

影響範囲

2020年8月31日より脆弱性を悪用した攻撃が開始されました。

• 2020年8月31日：1時間あたり平均1,500回の攻撃
• 2020年9月1日：1時間あたり平均2,500回の攻撃
• 2020年9月2日：1時間あたり10,000回を超える攻撃

現時点（2020年9月4日）で最新版の6.9にアップデートしているのは全体の15.4%です。

最新版に更新することが推奨されています。

問題の原因

File Managerのバージョン6.4にて特定の機能をテストするために「lib/php/connector.minimal.php-dist」を「lib/php/connector.minimal.php」に変更した際、そのまま公開されてしまったことが原因でした。

このファイルにはアクセス制限がなかったため誰でもファイルにアクセスできてしまいます。