WordPress Widget Options プラグイン <= 4.1.3 - 遠隔コード実行 (RCE) 脆弱性

この脆弱性を悪用されると、攻撃者はサーバー上で任意のコードを実行できるようになります。これにより、機密情報の窃取、システムの改ざん、さらには完全なシステム制御の奪取といった深刻な被害が発生する可能性があります。攻撃者は、Webサイトのコンテンツを改ざんしたり、バックドアを設置したり、他のシステムへの攻撃の足がかりとして利用したりすることが考えられます。この脆弱性は、Webアプリケーションのセキュリティを著しく損なう可能性があります。

WordPress websites utilizing the Widget Options plugin, particularly those running older versions (0.0.0–4.1.3), are at significant risk. Shared hosting environments are especially vulnerable, as they often have limited control over plugin updates and security configurations. Sites relying on legacy WordPress installations or those with inadequate security practices are also at increased risk.

• wordpress / composer / npm:

grep -r 'eval(' /var/www/html/wp-content/plugins/widget-options/

• generic web:

curl -I https://your-wordpress-site.com/wp-content/plugins/widget-options/ | grep -i 'Content-Type: application/x-php' # Check for PHP content served directly

1. 2026-03-05Disclosure

   disclosure

1. 予約済み2026-02-25
2. 公開日2026-03-05
3. 更新日2026-04-28
4. EPSS 更新日2026-03-23

まず、Widget Optionsをバージョン4.2.0以降にアップデートすることを強く推奨します。アップデートが直ちに不可能である場合は、WAF（Web Application Firewall）を使用して、コードインジェクション攻撃をブロックするルールを実装することを検討してください。また、入力データの検証を強化し、不審なコードが実行されるのを防ぐための対策を講じることが重要です。アップデート後、システムに侵入がないか、ログを監視し、異常なアクティビティがないか確認してください。