プラットフォーム
wordpress
コンポーネント
wpshop
修正版
2.6.2
CVE-2025-32576は、フランスのAgence web Eoxiaが開発したWordPressプラグインWP shopにおいて検出されたクロスサイトリクエストフォージェリ（CSRF）脆弱性です。この脆弱性を悪用されると、攻撃者はWebシェルをWebサーバーにアップロードし、システムを完全に制御する可能性があります。影響を受けるバージョンは0.0.0から2.6.1までであり、バージョン2.6.2へのアップデートで修正されています。
このCSRF脆弱性は、攻撃者が認証されたユーザーとしてWP shopの機能を実行することを可能にします。具体的には、攻撃者は巧妙に作成されたリクエストをユーザーに送信し、ユーザーがそのリクエストを誤って実行してしまうことで、Webシェルをアップロードすることができます。Webシェルがアップロードされると、攻撃者はWebサーバー上のファイルを閲覧、変更、実行できるようになり、機密情報の窃取、マルウェアのインストール、さらにはサーバー全体の制御といった深刻な被害をもたらす可能性があります。この脆弱性は、WordPressサイト全体のセキュリティを脅かす重大なリスクとなります。
この脆弱性は2025年4月9日に公開されました。現時点では、この脆弱性を悪用した具体的な攻撃事例は確認されていませんが、CSRF脆弱性は比較的悪用が容易であり、攻撃者による悪用が懸念されます。CISAのKEVリストへの登録状況は不明です。公開されているPoCは確認されていません。
Organizations using WP shop plugin in their WordPress installations are at risk, particularly those running older, unpatched versions (0.0.0–2.6.1). Shared hosting environments are especially vulnerable, as they often have limited control over plugin updates and security configurations. Sites with custom themes or plugins that interact with WP shop are also at increased risk.
• wordpress / composer / npm:
wp plugin list | grep wpshop• wordpress / composer / npm:
wp plugin update --all• wordpress / composer / npm:
grep -r 'Agence web Eoxia' /var/www/html/wp-content/plugins/• generic web: Check for unusual files in the WordPress plugin directory (e.g., PHP files with suspicious names or content).
disclosure
エクスプロイト状況
EPSS
0.09% (26% パーセンタイル)
CISA SSVC
CVSS ベクトル
WP shopのバージョンを2.6.2にアップデートすることが最も効果的な対策です。アップデートが直ちに困難な場合は、Webアプリケーションファイアウォール（WAF）を使用して、WP shopに関連する不審なリクエストをブロックすることを検討してください。また、WordPressのセキュリティプラグインを使用して、CSRF攻撃を検出および防止することも有効です。WP shopの設定で、管理者権限が必要な操作に対して、CSRFトークンを必須にするなどの設定変更も有効な緩和策となりえます。アップデート後、WP shopのログを確認し、不審なアクティビティがないか確認してください。
Cross-Site Request Forgery (CSRF) 脆弱性を緩和するために、WP shop プラグインをバージョン 2.6.2 以降にアップデートしてください。プラグインのアップデート前に、必ず Web サイトのバックアップを作成してください。詳細なアップデート手順については、プラグインのドキュメントを参照してください。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2025-32576は、WP shopプラグインにおいて、クロスサイトリクエストフォージェリ（CSRF）脆弱性が存在することを示します。この脆弱性を悪用されると、攻撃者がWebシェルをアップロードし、システムを制御する可能性があります。
WP shopのバージョン0.0.0から2.6.1を使用している場合は影響があります。攻撃者はCSRF攻撃によってWebシェルをアップロードし、サーバーを制御する可能性があります。
WP shopをバージョン2.6.2にアップデートしてください。アップデートが困難な場合は、WAFを使用して攻撃を緩和することを検討してください。
現時点では、この脆弱性を悪用した具体的な攻撃事例は確認されていませんが、悪用される可能性はあります。
Agence web EoxiaのウェブサイトまたはWordPressプラグインリポジトリでアドバイザリを確認してください。
依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。