CVE-2025-62880: CSRF in Custom 404 Pro WordPress Plugin

このCSRF脆弱性は、攻撃者が認証されたユーザーとして行動できることを意味します。例えば、攻撃者はプラグインの設定を変更し、カスタム404ページを悪意のあるものに置き換えたり、データベースにアクセスしたりする可能性があります。攻撃者は、ユーザーがログインしている間に悪意のあるリンクをクリックさせることで、この脆弱性を悪用できます。これにより、ウェブサイトの表示内容が改ざんされたり、ユーザーの個人情報が漏洩したりするリスクがあります。WordPressサイトのセキュリティが損なわれる可能性があり、サイトの信頼性が低下する可能性があります。

WordPress websites utilizing the Custom 404 Pro plugin, particularly those running older versions (0.0.0–3.12.0), are at risk. Shared hosting environments where plugin updates are managed centrally are also at increased risk, as they may be slower to apply security patches. Sites with administrator accounts that are frequently used or have weak passwords are particularly vulnerable.

• wordpress / composer / npm:

grep -r 'Custom 404 Pro' /var/www/html/wp-content/plugins/
wp plugin list | grep 'Custom 404 Pro'

• generic web:

curl -I https://your-wordpress-site.com/wp-admin/admin-ajax.php?action=custom_404_pro_save_settings&setting_name=some_setting&setting_value=some_value | grep HTTP/1.1

1. 2025-12-22Disclosure

   disclosure

1. 予約済み2025-10-24
2. 公開日2025-12-22
3. 更新日2026-04-28
4. EPSS 更新日2026-03-23

まず、Custom 404 Proプラグインをバージョン3.12.1にアップデートすることが最も効果的な対策です。アップデートが利用できない場合、プラグインを一時的に無効化するか、別のプラグインに置き換えることを検討してください。WAF（Web Application Firewall）を導入し、CSRFトークン検証を強化することで、攻撃を軽減できます。WordPressのセキュリティプラグインを使用して、CSRF攻撃を検出およびブロックすることも有効です。プラグインのアップデート後、カスタム404ページの動作を確認し、不正な変更がないか確認してください。