信頼できるパートナーWordfenceの協力によるWPMLの保護

先週、Wordfenceから報告されたセキュリティ問題にパッチを適用するため、WPML 4.6.13およびWPML Multilingual & Multicurrency for WooCommerce 5.3.7をリリースしました。この修正に関する追加の詳細と、それがサイトのセキュリティに何を意味するかを共有したいと思います。

イベントのタイムライン

WPMLではセキュリティを最優先事項としており、ウェブサイトの安全とセキュリティを確保することに尽力しています。今回の修正にあたり、WordPressのセキュリティコミュニティで最も尊敬されている名前の1つであるWordfenceと緊密に連携しました。

Wordfenceは7月にWPMLの問題について当社に連絡しましたが、残念ながらメッセージは迷惑メールフォルダに入り、しばらく気付かれませんでした。幸いなことに、8月にフォローアップのメールを受け取ったため、そこから直ちに脆弱性にパッチを適用し、検証のためにWordfenceにパッチ適用済みのバージョンを提供しました。

素晴らしいパートナーであり専門家であるWordfenceは、その過程で別の軽微なXSS脆弱性も報告し、当社はこれも直ちに修正しました。

その間、PatchstackからもWPML Multilingual & Multicurrency for WooCommerceの同様の脆弱性に関する報告を受けました。

修正がすべての検証に合格したという確認を彼らから得た後、8月20日にWPML 4.6.13とWooCommerce 5.3.7をリリースしました。

Wordfenceの重要な役割

この機会に、これらの脆弱性の特定と修正におけるWordfenceの多大な協力に感謝します。当社およびWordPressエコシステム全体に対する彼らの仕事の重要性は計り知れません。

最初の報告に対するフォローアップの熱心さと、修正プロセス全体を通じた協力は、WordPressコミュニティに対する彼らの献身の証です。

このエクスプロイトの仕組みとユーザーへの影響

一部のオンライン記事では、この問題を100万以上のサイトに影響を与える「重大なエクスプロイト」として説明しています。セキュリティが深刻な問題であることには完全に同意しますが、実際の状況でこのエクスプロイトがどのように機能するかを正確に明確にすることが重要です。

この脆弱性は、悪意のある攻撃者がWordPressサイトの編集権限を持っている必要があります。つまり、ターゲットとなるサイトで寄稿者以上のユーザー権限を持っている必要があります。

とはいえ、その深刻度はサイトにどのようなタイプのユーザーがいるかによって異なります。あなたとあなたのチームがサイトの唯一の管理者/ライター/編集者である場合、あなたやチーム以外にこの脆弱性を悪用できる人はいません。

一方で、寄稿者レベルのアクセス権を持つユーザーがいるサイトを運営しており、それらの人物を個人的に知らない場合は、リスクが高くなる可能性があります。

最後に、大多数のWPMLユーザーが危険にさらされたことは一度もないことを強調しておきます。パッチはWordfenceとの緊密な協力のもとで開発、テスト、リリースされ、問題は完全に解決されました。

サイト上のWPMLおよびWPML Multilingual & Multicurrency for WooCommerceを常に最新の状態に保つことの推奨

懸念がある場合

最近の報告により懸念を抱かれたユーザーやパートナーの皆様に、心配する必要はないことを保証いたします。問題は迅速かつ効果的に解決されており、実際に悪用されたという証拠はありません。

ご質問やご懸念がある場合は、お気軽にお問い合わせください。

当社は引き続き、皆様のウェブサイトのセキュリティと、Wordfenceをはじめとするセキュリティ専門家との継続的な協力に尽力いたします。

WPMLへの継続的なご信頼に感謝いたします。
WPMLチーム