結論
WordPress用のBoostプラグインには、PHPオブジェクトインジェクションの脆弱性が存在します。この脆弱性は、バージョン2.0.3までの間に影響を受け、認証されていない攻撃者による悪用が可能です。利用者は、影響を受けるバージョンを使用している場合は、早急に対策を講じる必要があります。
この記事の要点
- Boostプラグインのバージョン2.0.3までにPHPオブジェクトインジェクションの脆弱性が存在
- 認証されていない攻撃者による悪用が可能
- 影響を受けるバージョンを使用している場合は対策が必要
脆弱性の概要
WordPress用のBoostプラグインは、STYXKEY-BOOST_USER_LOCATIONクッキー内の信頼できない入力の逆シリアル化を通じて、バージョン2.0.3までの間にPHPオブジェクトインジェクションの脆弱性があります。この脆弱性により、認証されていない攻撃者がPHPオブジェクトを注入することが可能になります。脆弱なソフトウェアには既知のPOPチェーンが存在しないため、サイトにPOPチェーンを含む別のプラグインやテーマがインストールされていない限り、この脆弱性は影響を及ぼしません。ターゲットシステムに追加のプラグインやテーマを介してPOPチェーンが存在する場合、攻撃者は任意のファイルを削除したり、機密データを取得したり、コードを実行したりすることが可能になる場合があります。
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-7637 |
| 公開日 | 2026-05-20T04:16:56.747000Z |
| 対象システム | WordPress Boostプラグイン バージョン2.0.3まで |
| 脆弱性の種類 | PHPオブジェクトインジェクション |
| CVSSスコア | 9.8 |
| 攻撃条件 | 認証不要 / ネットワーク経由 |
◆ CVEについてはこちらから
まず何をすべきか
- 使用しているBoostプラグインのバージョンを確認する
- 影響を受けるバージョンを使用している場合は、早急にアップデートまたはパッチを適用する
- 他のプラグインやテーマにPOPチェーンが存在しないか確認する
出典元
- NVD詳細ページ：https://nvd.nist.gov/vuln/detail/CVE-2026-7637
- CVE公式ページ（cve.org）：https://www.cve.org/CVERecord?id=CVE-2026-7637
- security@wordfence.com：https://www.pixelyoursite.com/boost-plugin
- security@wordfence.com：https://www.wordfence.com/threat-intel/vulnerabilities/id/e391f560-2037-4180-a77e-1731524a318c?source=cve
対象システムと影響範囲
WordPressを使用しているユーザーで、Boostプラグインのバージョン2.0.3までを使用している場合に影響を受けます。
被害内容
悪用された場合、攻撃者は任意のファイルを削除したり、機密データを取得したり、コードを実行したりすることが可能になる場合があります。
既知の悪用状況
現時点では実際の攻撃への悪用は確認されていません。
対応方法
ベンダーからの公式な修正やパッチが提供されるまで、影響を受けるバージョンの使用を中止することが推奨されます。
FAQ
Q1. どの製品が影響を受けますか？
WordPress用のBoostプラグインのバージョン2.0.3までが影響を受けます。
Q2. まず何をすればよいですか？
使用しているBoostプラグインのバージョンを確認し、影響を受ける場合は早急にアップデートを行ってください。
Q3. 実際の悪用は確認されていますか？
現時点では実際の攻撃への悪用は確認されていません。
コメント