はじめに

広く利用されているWordPressプラグイン「W3 Total Cache」に、100万以上のウェブサイトを深刻な危険に晒す重大なセキュリティ脆弱性が発見されました。この脆弱性により、攻撃者はログイン認証情報を必要とせずに、影響を受けるウェブサイトを完全に制御できる可能性があります。

脆弱性の詳細

今回発見された脆弱性（CVE-2025-9501）は、W3 Total Cacheプラグインのバージョン2.8.13未満に存在する「認証不要なコマンドインジェクション」です。この脆弱性は、プラグインがウェブサイトのコンテンツを処理する_parse_dynamic_mfunc機能に存在します。CVSSスコアは9.0と評価されており、その深刻度が強調されています。

脆弱性の概要:

• CVE ID: CVE-2025-9501
• プラグイン名: W3 Total Cache
• 影響を受けるバージョン: 2.8.13未満
• 修正済みバージョン: 2.8.13以降
• 脆弱性の種類: 認証不要なコマンドインジェクション
• CVSSスコア: 9.0 (クリティカル)

攻撃手法と影響

攻撃者は、WordPressの投稿コメント内に隠された悪意のあるコードを挿入することで、この脆弱性を悪用できます。認証が不要なため、誰でも特別なアクセス権なしに攻撃を試みることが可能です。

一度トリガーされると、挿入されたコマンドはWordPressウェブサイトと同じ権限で実行され、攻撃者は任意のPHPコードを実行し、サイト全体を乗っ取る可能性があります。これにより、機密データの窃盗、マルウェアのインストール、ウェブサイトの改ざん、訪問者の悪意のあるサイトへのリダイレクトなどが行われる恐れがあります。

この攻撃は実行が容易で、ユーザーの操作を必要とせず、インターネット上のどこからでもリモートで実行できます。脆弱性は2025年10月27日に公開されており、未パッチのサイトは即座に危険に晒されています。

対策と推奨事項

ウェブサイトの所有者は、直ちにW3 Total Cacheプラグインをバージョン2.8.13以降にアップデートすることが不可欠です。このパッチ適用済みのバージョンには、脆弱性を修正するセキュリティパッチが含まれています。

また、WordPressサイトの管理者は、公開期間中にウェブサイトのセキュリティログを確認し、不審なコメント活動や不正な変更がないかチェックすることが推奨されます。追加のセキュリティ対策として、定期的なバックアップの実施、侵入監視のためのセキュリティプラグインの利用、およびコメント投稿を登録ユーザーのみに制限することなども検討すべきです。

ウェブサイトのセキュリティを維持するためには、すべてのWordPressプラグイン、テーマ、およびコアファイルを常に最新の状態に保つことが非常に重要です。

---

元記事: https://gbhackers.com/w3-total-cache-security-vulnerability/