WordPressの著名なプラグイン「Offload, AI & Optimize with Cloudflare Images」に、極めて危険なリモートコード実行（RCE）の脆弱性（CVE-2026-9860）が報告されました。この脆弱性は、バージョン1.10.2以前のすべてのバージョンに影響し、認証済みの著者権限を持つ攻撃者によってサーバー上で任意のPHPコードが実行される可能性があります。サイトの完全な侵害につながるため、開発者は直ちにプラグインを最新バージョンにアップデートするよう強く推奨されます。
脆弱性の概要と影響範囲
CVE-2026-9860は、プラグインの`cf_images_do_setup` AJAXハンドラにおける不適切な権限検証と入力サニタイズの欠如に起因します。このハンドラは、通常管理者権限で実行されるべき`wp-config.php`への書き込みを、`upload_files`権限（著者権限以上）で実行可能にしていました。さらに、`account-id`や`api-key`パラメータの単一引用符のエスケープ処理が不十分だったため、攻撃者はPHPの文字列リテラルを脱出し、`wp-config.php`に任意のPHPコードを注入することが可能になります。
具体的な影響・攻撃シナリオ
攻撃者は、WordPressサイト上で著者以上の権限を持つアカウントを取得することで、この脆弱性を悪用できます。悪意のある`account-id`または`api-key`パラメータを含むリクエストを送信することで、`wp-config.php`ファイルに不正なコードを書き込みます。これにより、バックドアの設置、機密情報の窃取、サイトコンテンツの改ざん、さらにはサーバー全体の掌握といった深刻な被害が発生する可能性があります。特に、複数のユーザーがコンテンツを投稿するサイトでは、内部犯行のリスクも考慮する必要があります。
エンジニアが今すぐ取るべき対策
サイトのセキュリティを確保するため、以下の対策を直ちに実施してください。
1. **最優先でプラグインをアップデート**: 「Offload, AI & Optimize with Cloudflare Images」プラグインを、脆弱性が修正されたバージョン（1.10.2より新しいバージョン）に直ちにアップデートしてください。 最新版への更新は、WordPressダッシュボードから行うか、公式プラグインディレクトリからダウンロードして手動で更新してください。
2. **`wp-config.php`の保護強化**: `wp-config.php`ファイルへのWebアクセスを制限し、不正な書き込みを防ぐためのファイル権限設定を厳格化してください。以下に`.htaccess`による保護の例を示します。
<Files wp-config.php>
Order allow,deny
Deny from all
</Files>Nginxを使用している場合は、以下の設定をWebサーバー設定ファイルに追加してください。
location ~* /(wp-config\.php|\.htaccess)$ {
deny all;
}3. **WAF（Web Application Firewall）の導入**: 不正なリクエストをブロックするため、WAFを導入または設定を見直してください。
4. **不審なアクティビティの監視**: サーバーのログやWordPressのアクティビティログを定期的に確認し、`wp-config.php`への変更や不審なファイルアップロードがないか監視を強化してください。
5. **最小権限の原則**: WordPressユーザーの権限を厳しく見直し、必要最低限の権限のみを付与するようにしてください。
📦