WordPressを対象とした攻撃が全体の半数、「FileManager」の脆弱性悪用が目立つ | ScanNetSecurity
2025.10.26(日)

WordPressを対象とした攻撃が全体の半数、「FileManager」の脆弱性悪用が目立つ

イー・ガーディアン株式会社のグループ会社である株式会社ジェイピー・セキュアは4月26日、2018年2月に開設したJP-Secure Labsが分析した独自レポート第6弾「JP-Secure Labs Report Vol.06」の公開を発表した。

調査・レポート・白書・ガイドライン 調査・ホワイトペーパー
攻撃種別の分類(全体)
攻撃種別の分類(全体) 全 3 枚 拡大写真
イー・ガーディアン株式会社のグループ会社である株式会社ジェイピー・セキュアは4月26日、2018年2月に開設したJP-Secure Labsが分析した独自レポート第6弾「JP-Secure Labs Report Vol.06」の公開を発表した。

「JP-Secure Labs Report Vol.06」では、2020年10月1日から12月31日の3ヶ月間にわたりユーザー数40万超のレンタルサーバ「ロリポップ!レンタルサーバー」環境の攻撃検出ログの分析を実施、主にWordPressで構築された Webサイトへの不正アクセスの実態や傾向とその対策について解説するとともに、その他Webサイトでソフトウェアやフレームワークを利用する際の注意点や集計期間中に確認された攻撃や検出の分類に加え、脅威動向などを取り上げている。

同レポートによると集計期間中に検出した攻撃の総数は90,814,679件で、SQLインジェクションが46,117,441件、WordPressの設定ファイル(wp-config.php)を読み取る攻撃が20,077,187件と多い傾向はこれまでと変わらないが、今回の集計期間では、WordPress上でファイルのアップロードや削除、リネームができるプラグイン「FileManager」の脆弱性を悪用した攻撃の検出が11,220,395件と目立った。

FileManagerはWordPress上でファイルのアップロードや削除、リネームなどができるプラグインで、FTPを使用せずにファイル操作が可能で、アクティブインストール数は60万を超える。2020年9月にFileManagerに任意のコード実行の脆弱性に関する情報が公開され、攻撃が観測され始め、2020年10月には国内外で検出が急上昇する波があり、対象サービスにて多数の攻撃を検出した。その後、11月から12月にかけてFileManagerの脆弱性を悪用する攻撃の検出数は減少したが、代わりにWordPress設定ファイルの読み取りを試みる攻撃が12月に向け増加に転じた。

また同レポートでは全体の攻撃の検出数9,080万件に対し、明らかにWordPressを対象にした検出、またはその可能性が高い検出は4,475万件となり全体の半数を占める結果となった。集計期間中のWordPressに対する攻撃は検出数順に、WordPress設定ファイルの読み取りが20,077,187件、FileManager(WordPressプラグイン)任意のコード実行の脆弱性悪用が11,220,395件、SQLインジェクションが9,286,458件となった。

WordPressに対する攻撃について検出箇所で分類すると、「/wp-content/plugins/」が28,323,934件「/wp-content/themes/」が7,172,743件で全体の8割近くを占めた。特に、FileManagerの任意のコード実行の検出が急増したため、pluginsディレクトリの検出が多くなった。

《高橋 潤哉( Junya Takahashi )》

関連記事

この記事の写真

/

特集

PageTop

アクセスランキング

  1. 大量に営業機密等を不正取得 ~ 不正競争防止法違反容疑でエレコム元従業員を刑事告訴

    大量に営業機密等を不正取得 ~ 不正競争防止法違反容疑でエレコム元従業員を刑事告訴

  2. 関与していた元社員とは未だ連絡取れず ~ 京都市内で保険申込書写し 計 632 枚拾得

    関与していた元社員とは未だ連絡取れず ~ 京都市内で保険申込書写し 計 632 枚拾得

  3. アスクル Web サイトがランサムウェア感染、受注出荷業務が停止

    アスクル Web サイトがランサムウェア感染、受注出荷業務が停止

  4. 「漏えい情報を復号できないため報告を要しない(個人情報保護委員会)」ランサムウェアの前に全データを暗号化するソリューションで保険代理店の顧客情報守られる

    「漏えい情報を復号できないため報告を要しない(個人情報保護委員会)」ランサムウェアの前に全データを暗号化するソリューションで保険代理店の顧客情報守られる

  5. 「ランサムウェア被害ゼロ」電算システムが語る ChromeOS のセキュリティ設計とコスト優位性

    「ランサムウェア被害ゼロ」電算システムが語る ChromeOS のセキュリティ設計とコスト優位性PR

ランキングをもっと見る
PageTop