WordPress 4.7, 4.7.1 はAPIに致命的なバグがあって認証無しで誰でも記事を改ざんできちゃうっぽい！ - かもメモ

WordPress 4.7, 4.7.1 のサイトは直ぐに4.7.2にアップデートするのです！ Twitterで大学や国会議員や公的機関のサイトが大量に改ざんされてるという情報を朝から目にした日でした。 どうやら改ざんされていたのはWordPressのサイトの様で、事の顛末は、 WordPressはアップデートの際には何を修正したかを公開していたのですが、今回はWordPress 4.7.2で修正をしたバグが致命的なものだったために直ぐにセキュリティに関わるアップデートの内容を公開せずに1週間後に情報を公開したようです。( WordPress 4.7.2のリリースが1月26日、バグの情報が公開されたのが2月1日 ) そして、それ以降もWordPressをアップデートせずに、4.7、4.7.1のバージョンのままだったサイトが軒並みこのバグを利用されて記事を改ざんされていったと言うのが今回の件

[kikiki-kiki]

#WordPress の自動更新はデフォルト機能だけど、PHP5.6以上・MySQL5.6以上でないと動作しないっぽい。レン鯖でバージョンが足りない場合は自動更新できないから注意が必要。git, svn管理下でもダメっぽい

[us_azu]

WordPress4.7でのREST APIの微弱性の問題 2015年はかなりのWordPressサイトがやられたよね... 結構情報もあるので、みなさんご注意してね。

[luccafort]

“私はホワイトハッカーだ。君のサイトのWordPressアップデートした方が良いぞ。”注意喚起してるけどやってることは改竄なのウケるｗいや笑い事じゃないレベルのヤバさなんだけども。