CVE-2025-14468: CSRF in AMP for WP – Accelerated Mobile Pages

このCSRF脆弱性を悪用されると、攻撃者はログインしているWordPressユーザーの権限を装って、AMP for WPプラグインを通じて任意の操作を実行できます。具体的には、認証されたユーザーとしてコメントを投稿することが可能です。これにより、攻撃者はWebサイトのコンテンツを改ざんしたり、ユーザーを騙して悪意のあるアクションを実行させたりする可能性があります。特に、テンプレートモードが有効になっている場合、この脆弱性の影響は拡大します。攻撃者は、巧妙に作成されたリンクをクリックさせることで、ユーザーの操作を偽装し、意図しない動作を引き起こす可能性があります。この脆弱性は、Webサイトのセキュリティを著しく損なうリスクを孕んでいます。

Websites using the AMP for WP plugin, particularly those with active comment sections and a significant number of logged-in users, are at risk. Shared hosting environments where multiple websites share the same server resources are also potentially vulnerable, as a compromise on one site could lead to attacks targeting others.

• wordpress / composer / npm:

grep -r 'amp_theme_ajaxcomments' /var/www/html/wp-content/plugins/amp-wp/

• wordpress / composer / npm:

wp plugin list --status=active | grep 'amp-wp'

• wordpress / composer / npm:

wp plugin update amp-wp --version=1.1.10

• wordpress / composer / npm:

wp plugin status amp-wp

• wordpress / composer / npm:

wp plugin list --all | grep 'AMP for WP'

1. 2026-01-07Disclosure

   disclosure

1. 予約済み2025-12-10
2. 公開日2026-01-07
3. 更新日2026-04-08
4. EPSS 更新日2026-03-23

この脆弱性への対応策として、まずAMP for WPプラグインをバージョン1.1.10以降にアップデートすることを推奨します。アップデートが困難な場合は、テンプレートモードを無効にすることで、CSRF攻撃のリスクを軽減できます。また、WAF（Web Application Firewall）を導入し、CSRF攻撃を検知・防御するルールを設定することも有効です。WordPressのセキュリティプラグインを利用して、nonceの検証を強化することも検討してください。アップデート後、プラグインの動作を確認し、問題がないことを確認してください。

アクティブインストール数

90K人気

プラグイン評価

4.4

WordPressが必要

3.0+

動作確認済みバージョン

7.0