確かに、ソクラテス。しかし現実の管理者として、まず確認すべきは「導入しているプラグインのバージョン」ではないか。3.1.0以下の環境ではAES-256-CBC鍵の生成が脆弱であるとされている。その確認は、wp-content/pluginsディレクトリ内に「Bulk Page Generator – LPagery」が存在するか、またwp-config.phpや設定画面でFreemiusの初期設定が行われていないか、をまず確認すべきだろう。

パッチ適用は必須だが、それ以前に「影響範囲の調査」が重要だ。管理者権限を持つユーザーが存在するか、またはFreemiusが無効な状態で運用しているかを確認せねばならない。また、トークン検証に使われる鍵がSHA-256ハッシュの空文字に依存している点は、変更管理の文脈で「鍵の生成ロジックが変更されていないか」を確認するきっかけにもなる。

監視としては、LPageryのAPIエンドポイントにアクセスログを残し、異常なトークンの発行や不正なページ操作を検出する仕組みを構築すべきだ。また、公式サイトやNVDの記載を確認し、パッチ適用が可能かを判断する。ベンダーが提供する更新情報がなければ、代替手段としてプラグインの削除や運用停止を検討する必要がある。

「確認」だ。バージョンの確認、設定の確認、パッチの確認。これらを怠れば、管理者権限の不正利用というリスクが残る。しかし、ユーモアを交えて言えば、この脆弱性は「鍵が空文字で開かれるドア」に似ており、管理者が鍵を「しっかり閉めていない」状態に過ぎない。まずはそのドアの確認から始めよ。