概要
CVE-2026-3352は、WordPressプラグイン「Easy PHP Settings」に存在するPHPコードインジェクションの脆弱性です。この脆弱性は、update_wp_memory_constants()メソッドにおいて、wp_memory_limitおよびwp_max_memory_limit設定への入力値検証が不十分であることに起因します。具体的には、サニタイズに使用されるsanitize_text_field()関数がシングルクォーテーションを適切にフィルタリングしないため、攻撃者がPHPのdefine()ステートメントの文字列コンテキストから抜け出し、任意のPHPコードを注入できる可能性があります。これにより、管理者権限を持つ攻撃者によって、サーバー上で任意のPHPコードが実行される恐れがあります。
影響範囲
WordPressプラグイン「Easy PHP Settings」のバージョン1.0.4およびそれ以前の全てのバージョンが影響を受けます。
想定される影響
本脆弱性が悪用された場合、攻撃者はWordPressサイトが動作するサーバー上で任意のPHPコードを実行できる可能性があります。これは、wp-config.phpファイルが改ざんされ、サイトの全てのページリクエストで悪意のあるコードが実行されることを意味します。結果として、ウェブサイトの改ざん、機密情報の窃取、さらにはサーバー全体の乗っ取りなど、極めて深刻な被害につながる恐れがあります。
攻撃成立条件・悪用状況
攻撃を成功させるためには、攻撃者が対象のWordPressサイトに対して管理者レベルのアクセス権限を持っている必要があります。現在のところ、この脆弱性の具体的な悪用状況については、公開情報からは確認できません。
推奨対策
今すぐできる対策（優先度：高）
- プラグインのアップデートまたは停止: 「Easy PHP Settings」プラグインの最新バージョンが提供されている場合は、速やかにアップデートしてください。もしアップデートが提供されていない、または利用できない場合は、このプラグインの使用を停止または削除することを強く推奨します。
- 管理者アカウントのセキュリティ強化: 管理者アカウントのパスワードを複雑なものにし、多要素認証（MFA）を導入するなど、アカウントのセキュリティを強化してください。
中長期的な対策
- 定期的なセキュリティ監査: WordPressサイトおよびサーバー環境に対して定期的なセキュリティ監査を実施し、潜在的な脆弱性を早期に発見・対処する体制を構築してください。
- WAF（Web Application Firewall）の導入: WAFを導入することで、既知および未知の攻撃パターンからウェブアプリケーションを保護できる可能性があります。
一時的な緩和策
現時点では、プラグインの停止・削除以外の効果的な一時的な緩和策は限定的です。管理者権限を持つユーザーによるwp-config.phpへの不正な書き込みを防ぐため、ファイルパーミッションの見直しも検討できますが、WordPressの運用に影響を与える可能性があるため、慎重な実施が必要です。
確認方法
ご自身のWordPressサイトで「Easy PHP Settings」プラグインがインストールされているか、またそのバージョンが1.0.4以下であるかを確認してください。WordPress管理画面の「プラグイン」→「インストール済みプラグイン」で確認できます。