それは、管理者の意図に反してサイトが乗っ取られるという現実的危険です。しかし、ソクラテス、Linux運用者としてまず確認すべきは、該当プラグインのバージョンです。wp-content/pluginsディレクトリに「click5 CRM add-on to WPForms」が存在し、そのファイルの変更日時が1.0.3以下の場合は、まずパッチ適用を検討すべきでしょう。

REST API経由でブログオプションを更新する際、認証不要なリクエストが許可されている可能性があります。具体的には、wp-json/wp/v2/optionsエンドポイントにPOSTリクエストを送信し、CookieやXSRFトークンの検証が行われていない場合です。運用者は、ApacheやNginxのログを確認し、異常なリクエストが記録されていないかをチェックすべきです。

プラグインの公式サイトやWordPressプラグインリポジトリで最新バージョンを確認し、wp-config.phpにdefine('WP_ALLOW_REPAIR', false);を設定するなど、REST APIのセキュリティを強化する設定を検討してください。また、変更管理として、パッチ適用前後のファイルハッシュを比較し、異常変更を検出する仕組みを構築しましょう。

攻撃者が管理者アカウントを作成できる可能性があるため、サイト全体の制御権が失われるリスクが高まります。ただし、現状では「乗っ取りが可能になる恐れがある」という表現であり、実際に発生した事例は記載されていません。運用者は、情報セキュリティ対策ガイドラインに沿って、ベンダーの修正情報や対応手順を確認し、緊急性を判断してください。

ユーモアを交えて言うなら、WordPressは「便利なツール」であり、「セキュリティの責任」は運用者にあるのです。REST APIのセキュリティ設定、プラグインのバージョン確認、ログ監視、そしてベンダー情報の定期的なチェック——これらを怠ると、あなたのサーバーが「次期バージョンのWordPress」にアップグレードするよりも早く、悪意のある脚本にアップグレードされるかもしれません。