Meta Box <= 5.11.1 - 認証済み (貢献者以上) による任意のファイル削除

この脆弱性は、認証された攻撃者（コントリビュータ権限以上）がサーバー上のファイルを削除できることを意味します。攻撃者は、wp-config.phpなどの重要なファイルを削除することで、WordPressサイトの完全な制御を奪う可能性があります。wp-config.phpが削除されると、データベース接続情報が失われ、サイトが完全に停止する可能性があります。さらに、攻撃者は削除したファイルを悪意のあるコードで置き換えることで、リモートコード実行を達成し、サイトを完全に制御する可能性があります。この脆弱性は、WordPressサイトのセキュリティを著しく損なう重大なリスクとなります。

WordPress sites utilizing the Meta Box plugin, particularly those with a large number of users with Contributor-level access or higher, are at risk. Shared hosting environments where users have limited control over server file permissions are also particularly vulnerable. Sites relying on older, unpatched versions of Meta Box are most exposed.

• wordpress / composer / npm:

wp plugin list --status=active | grep 'Meta Box'

• wordpress / composer / npm:

wp plugin update --all

• wordpress / composer / npm:

wp plugin status meta-box-plugin

• wordpress / composer / npm:

find /var/www/html/wp-content/plugins/meta-box/ -type f -name '*delete.php*'

1. 2026-04-13Disclosure

   disclosure

1. 公開日2026-04-13
2. 更新日2026-04-21

まず、Meta Boxプラグインをバージョン5.11.2以降にアップデートすることを強く推奨します。アップデートが直ちに実行できない場合は、WordPressのファイルパーミッションを適切に設定し、攻撃者がアクセスできるファイルを制限することでリスクを軽減できます。また、WAF（Web Application Firewall）を導入し、不審なファイルアクセス試行をブロックすることも有効です。ファイルアクセスログを監視し、異常なアクティビティを早期に検出することも重要です。アップデート後、wp-config.phpなどの重要なファイルが改ざんされていないか確認してください。