Countdown, Coming Soon, Maintenance – Countdown & Clock <= 2.8.9.1 - 認証されていない限定的なローカルファイルインクルージョン

このLFI脆弱性を悪用されると、攻撃者はサーバー上の任意のファイルを読み取ることが可能になります。特に、PHPファイルがインクルードされる場合、攻撃者はサーバー上で任意のコードを実行し、Webサイトを完全に制御する可能性があります。機密情報（データベースの認証情報、APIキーなど）が漏洩するリスクも高く、さらなる攻撃への踏み台として利用される可能性も否定できません。この脆弱性は、WordPressサイトのセキュリティを著しく損なう重大な脅威となります。

Websites utilizing the Countdown, Coming Soon, Maintenance – Countdown & Clock plugin, particularly those running older, unpatched versions (0.0.0–2.8.9.1), are at significant risk. Shared hosting environments where WordPress installations have limited access controls are also particularly vulnerable.

• wordpress / composer / npm:

grep -r 'createCdObj' /var/www/html/wp-content/plugins/countdown-coming-soon-maintenance-countdown-clock/

• wordpress / composer / npm:

wp plugin list | grep 'Countdown, Coming Soon, Maintenance'

• wordpress / composer / npm:

wp plugin update countdown-coming-soon-maintenance-countdown-clock

1. 2025-04-04Disclosure

   disclosure

1. 予約済み2025-03-12
2. 公開日2025-04-04
3. 更新日2026-04-08
4. EPSS 更新日2026-03-23

まず、WordPressプラグインCountdown, Coming Soon, Maintenance – Countdown & Clockをバージョン2.8.10にアップデートすることを強く推奨します。アップデートが困難な場合は、プラグインの機能を一時的に無効化するか、ファイルシステムレベルでcreateCdObj関数のアクセスを制限するなどの回避策を検討してください。WAF（Web Application Firewall）を導入し、LFI攻撃のパターンを検知・防御するルールを設定することも有効です。アップデート後、プラグインの動作を確認し、想定通りの機能が正常に動作していることを確認してください。

アクティブインストール数

10K既知

プラグイン評価

4.7

WordPressが必要

3.8+

動作確認済みバージョン

6.9.4

PHPが必要

5.3+