セキュリティ上の問題を解決した「WordPress 4.7.1」がリリース

公開日: 2017/01/13　更新日: 2018/04/04
カテゴリー: WordPress
  • このエントリーをはてなブックマークに追加

2017年1月11日にセキュリティ上の問題を解決した「WordPress 4.7.1」がリリースされました。
WordPress 4.7.1 Security and Maintenance Release
WordPress 4.7.1 セキュリティ・メンテナンスリリース

WordPress 4.7.1 Security and Maintenance Release

WordPress 4.7.1 Security and Maintenance Release


PHPMailer の遠隔コード実行、クロスサイトスクリプティング(XSS)等、8件のセキュリティ問題に対応

今回のバージョンアップでは、WordPress 4.7以前のものが対象となっており、以下8件のセキュリティ問題に対応しています。

  1. PHPMailer の遠隔コード実行。
    JVNVU#99931177 PHPMailer に OS コマンドインジェクションの脆弱性で指摘されていたPHP Mailerのリモートコード実行脆弱性に対し、WordPress および主要なプラグインがこの問題の影響を受ける可能性はないですが、広範囲に影響しうる問題のため今回のリリースで PHPMailer のアップデートを行われたようです。
  2. 公開 (public) の投稿タイプの投稿を作成したすべてのユーザーのデータが REST API 経由で参照可能になる問題。
    これは、WordPress 4.7 “Vaughan”がリリースされましたで以下のように記述をしていた

    WordPress 4.7以前は、「WP REST API」を有効にしないとこの「REST API」は使えなかったのですが、WordPress4.7以降はプラグインを使わなくても、アクセスできるようになってます。

    そのため、「REST API」にアクセスさせたくない場合には、Disable EmbedsといったPluginを導入する必要があります

    に対して、WordPress 4.7.1 では REST API で参照可能と指定された投稿タイプに限定されるよう制限が加わったようです。

  3. update-core.php のプラグイン名またはバージョンのヘッダーを利用したクロスサイトスクリプティング (XSS)。
  4. Flash ファイルのアップロードに関連したクロスサイトリクエストフォージェリ (CSRF)。
  5. テーマ名のフォールバックを利用するクロスサイトスクリプティング (XSS)。
  6. メールによる投稿でデフォルト設定の mail.example.com が変更されていない場合の対応。
  7. ウィジェット編集のアクセシビリティモードに関連したクロスサイトリクエストフォージェリ (CSRF)。
  8. マルチサイト有効化キーの強度不十分な暗号セキュリティ。

また、WordPress 4.7.1 では 4.7 リリース以降に発見された62個のバグを修正しています。

自動アップデートが始まっている

今回も自動アップデートに対応していますので、自動バックグラウンド更新の設定を行っている場合には自動でアップデートが行われている場合があります。

しかし、自動バックグラウンド更新の設定を行っていない場合や、まだアップデートが行われていない場合には、WordPress 4.7.1をダウンロードして手動で更新するか、ダッシュボードから更新が必要です。

WordPressの運用をされている方は、早急に対応を行いましょう。

関連する記事

WordPress 4.9.5 Security and Maintenance Releaseセキュリティ上の問題を解決した「WordPress 4.9.5」がリリース WordPress 4.7.3セキュリティ上の問題を解決した「WordPress 4.7.3」がリリース Wordpress 4.7.5セキュリティ上の問題を解決した「WordPress 4.7.5」がリリース セキュリティ上の問題を解決した「WordPress 4.6.1」がリリース
タグ: , , , , , , , , ,