こんにちは、投稿者のKuboです。
何の話か：WordPressテーマ「Alone」に未認証で不正ファイルをアップロードできる重大脆弱性が確認され、実害が報告されています。
誰向けか：非営利・教育・公共団体サイトの運用者、制作会社、保守担当者。
得られること：影響判定→即時対処→痕跡確認→再発防止まで、今日から実行できる最短手順を示します。
1. 要点
結論：Aloneテーマは7.8.3以下で未認証の任意ファイルアップロードが可能で、遠隔で任意コード実行（RCE）に至る恐れがあります。テーマを7.8.5以降へ更新し、痕跡確認と不要プラグインの洗浄を即日で終えましょう。
2. 脆弱性の概要
脆弱性はテーマ内の処理に権限チェック抜けがあり、攻撃者が管理者でなくても、テーマの機能を経由してZIP（疑似プラグイン）をアップロードできる点にあります。結果として、サーバ上にWebシェル（攻撃用ファイル）を置かれ、サイト乗っ取りに発展します。
3. 影響範囲と対象バージョン
影響はAlone – Charity Multipurpose Non-profit WordPress Themeの7.8.3以下。ベンダー修正を含む7.8.5以降への更新が推奨されています。各国の政府系機関が積極的悪用を警告しており、対処は最優先課題です。
4. 今日すぐの最短対処フロー
4-1. 事前準備（5分）
- 対象サイトのフルバックアップ（ファイル＋DB）。
- 管理者・FTPのパスワード変更と二要素認証。
4-2. 速やかな更新（15分）
- テーマを7.8.5以降へ更新（子テーマ利用時も親テーマを更新）。
- 「見慣れないプラグイン」「最近作成の管理者ユーザー」を洗い出し、無効化→削除。
4-3. 侵害痕跡の一次チェック（30分）
- アクセスログに特定のAJAX呼び出しがないか確認。
- wp-content/plugins/ と wp-content/upgrade/ の不審ZIP/フォルダを点検。
5. 侵害有無の見極め：ログとファイルのチェック
以下はApache/Nginxでの簡易検索例です。環境に合わせてパスを調整してください。
# 1) 脆弱なAJAX呼び出しの痕跡 grep -R "admin-ajax.php?action=alone_import_pack_install_plugin" /var/log/httpd/ -n grep -R "admin-ajax.php?action=alone_import_pack_install_plugin" /var/log/nginx/ -n 2) 直近で生成された怪しいZIP/プラグインを探索（7日以内例） find /var/www/html/wp-content/upgrade -type f -mtime -7 -name "*.zip" -ls find /var/www/html/wp-content/plugins -maxdepth 1 -type d -mtime -7 -ls 3) 典型的なWebシェル名の一次抽出（例） grep -R "eval(base64_decode" /var/www/html/wp-content/ -n grep -R "assert($_POST" /var/www/html/wp-content/ -n
不審が見つかったら即時隔離→ログ保全→復元＋原因切り分けを並行し、二次被害を防ぎます。
6. 再発防止の設計（運用・設定・監視）
- テーマ／プラグインの在庫整理：使わないものは削除（無効化の放置は不可）。
- 自動更新の方針化：本番は段階適用、ステージング検証→本番反映。
- 監視：管理者追加・プラグイン追加・ファイル改変の通知を有効化。
- バックアップ設計：RPO/RTOを明文化し、復元リハーサルを実施。
- 最小権限：不要な管理者権限を整理。SFTP/DBも同様。
7. FAQ
Q1. どのバージョンに上げれば安全ですか？
修正を含む7.8.5以降を推奨します。更新後も過去侵害の有無は別途確認が必要です。
Q2. 更新しただけで安心できますか？
いいえ。更新は今後の悪用防止です。過去の侵害有無はログとファイルで確認してください。
Q3. 何から見れば良いですか？
AJAX呼び出し痕跡、upgrade/plugins配下の新規ZIP、不審ユーザー／不明プラグインの三点が入口です。
Q4. サイトが改ざんされていたら？
直ちに隔離（WAFやBASIC認証）、バックアップから復元、原因切り分け、認証情報総入替を同時進行します。
Q5. ベンダーの一次情報はどこを見れば良い？
CVE（NVD）、政府機関アドバイザリ、テーマ配布元の更新情報が起点です。本記事末のリンクをご参照ください。