世界中で数百万サイトに導入されている定番WordPressプラグイン「Really Simple Security（旧Really Simple SSL）」および高速化プラグイン「LiteSpeed Cache」において、未認証の第三者が管理者権限を奪取できる極めて危険な脆弱性が相次いで報告されました。サイト運営者が被害を防ぐための具体的な対処法を解説します。

Really Simple Securityの認証バイパス（CVE-2024-10924）

この脆弱性は、二要素認証（2FA）処理におけるREST APIエンドポイントの入力検証不備に起因します。攻撃者はユーザーIDを指定した簡単なAPIリクエストを送信するだけで、パスワードなしで管理者としてログイン可能なCookieトークンを取得できます。バージョン9.1.2以降で修正されています。

LiteSpeed Cacheの権限昇格問題とWAFの設定

LiteSpeed Cacheでも、クッキー検証ロジックの不備による管理者セッション乗っ取り欠陥が判明しています。プラグインの自動更新をオンにして最新バージョンへ引き上げることに加え、Cloudflare等のWAFで /wp-json/ に対する不審なクエリを遮断するルールを整備することが有効です。