1. セキュリティ対策ラボ
  2. セキュリティニュース
  3. 情報セキュリティ
  4. WordPressのプラグイン「Spirit Framework」に致命的脆弱性 CVE-2025-6388-すでに悪用確認、至急アップデートを

WordPressのプラグイン「Spirit Framework」に致命的脆弱性 CVE-2025-6388-すでに悪用確認、至急アップデートを

セキュリティニュース

投稿日時: 更新日時:

WordPressのプラグイン「Spirit Framework」に致命的脆弱性 CVE-2025-6388-すでに悪用確認、至急アップデートを

2025年10月、WordPress用プラグイン「Spirit Framework」に、CVSS 9.8（致命的）の認証バイパス脆弱性 CVE-2025-6388 が見つかりました。1.2.14までの全バージョンが影響を受け、攻撃者はユーザー名さえ分かればパスワードなしでログインでき、管理者権限の奪取や改ざんに繋がります。開発元は1.2.15で修正済みです。

対策

プラグインを1.2.15以降へ更新

悪用状況

セキュリティベンダーの観測では、公開直後から攻撃が始まっており、直近24時間だけでも複数の攻撃ブロックが報告されています。放置するとアカウント乗っ取り、バックドア設置、改ざん、情報窃取に直結します。

技術的なポイント

問題はプラグイン内部の custom_actions() が「本人確認を適切に行わないまま認証を成立させてしまう」実装にあります。結果として、攻撃者は任意の既存ユーザー（例：管理者）のユーザー名を指定するだけでセッションを得ることが可能になります。標準的なログイン検証を素通りするため、WAFやブルートフォース対策だけでは止め切れません。

 

関連記事

Google、Chromeのサンドボックス脱出の脆弱性 発見者へ25万ドル（約3,675万円）の報奨Google、Chromeのサンドボックス脱出の脆弱性 発見者へ25万ドル（約3,675万円）の報奨 Adobe(アドビ) Experience Manager Forms（JEE）の脆弱性 CVE-2025-54253がCISAのKEVに登録-至急アップデートをAdobe(アドビ) Experience Manager Forms（JEE）の脆弱性 CVE-2025-54253がCISAのKEVに登録-至急アップデートを Androidの定例アップデートででFreeTypeのゼロデイ脆弱性（CVE-2025-27363）が修正Androidの定例アップデートでFreeTypeのゼロデイ脆弱性（CVE-2025-27363）が修正 CISAがGoogle Chromeのゼロデイ 脆弱性 CVE-2025-10585をKEVに追加-実運用で悪用確認 優先パッチ適用を勧告CISAがGoogle Chromeのゼロデイ 脆弱性 CVE-2025-10585をKEVに追加-実運用で悪用確認 優先パッチ適用を勧告 セイコーソリューションズのSkyBridge BASIC MB-A130にOSコマンドインジェクション 脆弱性(CVE-2025-54857)セイコーソリューションズのSkyBridge BASIC MB-A130にOSコマンドインジェクション 脆弱性(CVE-2025-54857) WordPress プラグイン「Sneeit Framework」に深刻な脆弱性(CVE-2025-6389)WordPress プラグイン「Sneeit Framework」に深刻な脆弱性(CVE-2025-6389) WordPressテーマ「Motors」に深刻な脆弱性、22,000サイトが乗っ取りの危機に(CVE-2025-4322)WordPressテーマ「Motors」に深刻な脆弱性、22,000サイトが乗っ取りの危機に(CVE-2025-4322) Fortinet FortiWebの新ゼロデイ脆弱性(CVE-2025-58034)、サイバー攻撃への悪用確認-Fortinetが緊急アップデートを公開Fortinet FortiWebの新ゼロデイ 脆弱性(CVE-2025-58034)、サイバー攻撃への悪用確認-Fortinetが緊急アップデートを公開 CISA、FortiWebのゼロデイ「CVE-2025-58034」をKEVに追加CISA、FortiWebのゼロデイ「CVE-2025-58034」をKEVに追加