それは確かに奇妙です。サブスクリバーがGoogleの資格情報を削除できるとは、プラグインの設定処理に「nonceチェック」や「権限確認」が欠如しているためです。運用者として、まず確認すべきは「このプラグインが導入されているか？」です。導入されていたら、バージョンが2.6.24未満かどうかをチェックする必要があります。

もし古いバージョンが使われているなら、攻撃者が資格情報を改ざんするリスクがあります。その際、ログに「設定変更履歴」が記録されているかを確認し、異常な操作がないかを監視する必要があります。資格情報の変更は、誰が、いつ、どんな手段で行われたかを追跡するべきです。

最新バージョンへの更新を検討してください。また、不要なアクセス権を削除するなど、最小権限の原則に従うべきです。ベンダーの情報確認も重要で、プラグインの開発者やWordPress公式サイトで最新情報を探るべきです。

リスクは現実的です。ただし、現状では「攻撃が実際に発生した」という情報はなく、運用者自身が「資格情報の変更履歴」を監視し、「パッチ適用」を進めることが現実的な対応です。監視と変更管理が、この脆弱性の影に潜む「不確実性」に対処する鍵です。

たとえば、サブスクリバーが誤って資格情報を削除してしまった場合です。このため、変更管理を厳格にし、「誰が」「いつ」「どんな操作を行ったか」を記録する仕組みを整えるべきです。これは哲学ではなく、日常の運用の「実務」です。

はい。たとえば、この脆弱性を「パスワードの鍵がドアの外に置かれた」比喩に置き換えると、少し笑えるかもしれません。ただし、鍵を拾った者が誰かは、監視と変更管理で明らかにしなければなりません。