WordPress JetEngine プラグイン <= 3.7.2 - 遠隔コード実行 (RCE) 脆弱性

このRCE脆弱性は、攻撃者がJetEngineプラグインを介してWordPressサイト上で任意のコードを実行することを可能にします。攻撃者は、Webサイトのファイルシステムにアクセスし、データベースを改ざんし、機密情報を盗み出す可能性があります。さらに、攻撃者はWebサイトを悪意のあるコンテンツを配信するために使用したり、他のシステムへの攻撃の足がかりとして利用したりする可能性があります。この脆弱性は、WordPressサイトの完全な侵害につながる可能性があります。

WordPress websites utilizing Crocoblock JetEngine, particularly those with publicly accessible file upload functionalities or those running older, unpatched versions of the plugin, are at significant risk. Shared hosting environments where multiple websites share the same server resources are also more vulnerable, as a compromise of one site could potentially lead to the compromise of others.

• wordpress / composer / npm:

grep -r "jet-engine/includes/class-jet-engine.php" . 

• wordpress / composer / npm:

wp plugin list --status=inactive | grep jetengine

• wordpress / composer / npm:

wp plugin update --all

1. 2026-03-05Disclosure

   disclosure

1. 予約済み2026-02-25
2. 公開日2026-03-05
3. 更新日2026-04-28
4. EPSS 更新日2026-03-23

JetEngineプラグインをバージョン3.8.1.2にアップデートすることが最も効果的な対策です。アップデートできない場合は、Webアプリケーションファイアウォール（WAF）を使用して、悪意のあるコードインジェクション攻撃をブロックすることを検討してください。また、JetEngineプラグインのファイルへのアクセスを制限するファイルパーミッションを設定することも有効です。攻撃の兆候を監視するために、アクセスログやエラーログを定期的に確認してください。