WordPress AR For WordPress プラグイン <= 8.34 - Cross Site Request Forgery (CSRF) 脆弱性

このCSRF脆弱性は、攻撃者が認証済みユーザーとして任意の操作を実行することを可能にします。具体的には、攻撃者は悪意のあるWebシェルをAR For WordPressの管理インターフェースを通じてアップロードし、サーバー上で任意のコードを実行できます。これにより、機密情報の窃取、データの改ざん、さらにはサーバー全体の制御喪失といった深刻な被害が発生する可能性があります。Webシェルが確立されると、攻撃者はサーバー上の他のアプリケーションやデータベースにもアクセスできる可能性があり、攻撃範囲は拡大します。この脆弱性は、Webアプリケーションのセキュリティを根底から揺るがす重大な脅威となります。

Websites utilizing AR For WordPress, particularly those with limited security controls or shared hosting environments, are at significant risk. Sites with older, unpatched versions of the plugin are especially vulnerable. Administrators who haven't implemented robust CSRF protection measures are also at increased risk.

• wordpress / composer / npm:

wp plugin list | grep 'AR For WordPress'

• wordpress / composer / npm:

wp plugin update --all

• wordpress / composer / npm:

wp plugin status | grep 'AR For WordPress'

• wordpress / composer / npm:

wp plugin path ar-for-wordpress

1. 2025-09-26Disclosure

   disclosure

1. 予約済み2025-09-25
2. 公開日2025-09-26
3. 更新日2026-04-28
4. EPSS 更新日2026-03-23

この脆弱性への対応として、まずAR For WordPressをバージョン7.98.1にアップデートすることを強く推奨します。アップデートが直ちに不可能である場合は、Webアプリケーションファイアウォール（WAF）を使用して、CSRF攻撃を検知・防御するルールを実装してください。また、WordPressのセキュリティプラグインを活用し、CSRF対策を強化することも有効です。さらに、AR For WordPressの設定を見直し、不要な機能や権限を制限することで、攻撃対象領域を縮小できます。アップデート後、Webシェルがアップロードされていないか、サーバーのログを監視し、異常なアクティビティがないか確認してください。