約2万のWordPressサイトに影響：WP Ultimate CSV Importerプラグインに深刻な脆弱性

2025年4月、WordPressセキュリティ大手のWordfenceが、人気プラグイン「WP Ultimate CSV Importer」に2件の重大な脆弱性が存在することを公表しました。

https://www.wordfence.com/blog/2025/03/20000-wordpress-sites-affected-by-arbitrary-file-upload-and-deletion-vulnerabilities-in-wp-ultimate-csv-importer-wordpress-plugin

このプラグインはCSVファイルを通じて投稿・カスタム投稿・ユーザー情報などを一括でインポートできる便利なツールですが、今回の脆弱性によってサイトが乗っ取られるリスクが明らかになっています。

発見された脆弱性

1. 任意のファイルをアップロード可能な脆弱性（CVE-2025-2008）

この脆弱性により、認証されたユーザーが任意のファイルをサーバーにアップロードすることができます。たとえば、PHPファイルなどの実行可能なスクリプトをアップロードされると、サイトを完全に乗っ取られる危険性があります。

• 影響範囲：バージョン7.19.1以下
• 深刻度：CVSSスコア 8.8（高）

https://www.cve.org/CVERecord?id=CVE-2025-2008

2. 任意のファイル削除の脆弱性（CVE-2025-2007）

認証ユーザーが任意のファイルをサーバーから削除できる脆弱性です。特に重要な設定ファイル（例：wp-config.php）を削除されると、WordPressのインストールが無効になり、サイトを再構築せざるを得なくなります。

• 影響範囲：バージョン7.19.1以下
• 深刻度：CVSSスコア 8.1（高）

https://www.cve.org/CVERecord?id=CVE-2025-2007

被害の可能性と対象ユーザー

このプラグインは約20,000サイトで使用されており、すでに悪用された痕跡も確認されています。

特に、複数の管理者やエディター権限ユーザーが存在するサイト、またはメンバー登録制サイトでは、内部からの攻撃リスクが高まります。

推奨される対策

1. プラグインを最新版に更新する
   • 開発元はすでに脆弱性に対処したバージョンをリリースしています。
2. 不要なユーザー権限の見直し
   • エディターや投稿者に不要な権限が与えられていないか確認してください。
3. セキュリティプラグインの導入を検討
   • Wordfenceなどのセキュリティツールを利用することで、脆弱性の早期検出が可能になります。
4. アクセスログの確認
   • 管理画面やアップロード先に不審なアクセスがないか確認しましょう。

WP Ultimate CSV Importerプラグインとは

「WP Ultimate CSV Importer」は、WordPressの投稿・カスタム投稿・ユーザー情報・WooCommerce商品などをCSV、XML、Excel、TSV形式で一括インポート・エクスポートできる高機能なプラグインです。

（正式名称: Import Export Suite for CSV and XML Datafeed）

特に大規模なサイトやデータ移行を伴うサイト構築において、その柔軟性と操作性の高さが評価されています。

主な機能

✅ 高速なデータ移行と更新

• 大量の投稿やカスタム投稿を数分でインポート可能。
• CSV/Excel/XMLをドラッグ＆ドロップでマッピングして取り込み。

✅ シームレスな連携

• WooCommerce、Yoast SEO、WPML、Advanced Custom Fieldsなど、多くの人気プラグインと統合。
• SEO設定や多言語情報も保持したまま移行可能。

✅ 柔軟なフィルターインポート

• 投稿タイトル・作成者・カスタムタクソノミーなどの条件を設定し、必要な行だけを抽出してインポート。

✅ 1クリックマイグレーション（v7.20以降の新機能）

• エクスポート時にZIPファイルを作成し、アップロード先サイトでそのまま「1クリック」でインポート可能。
• データとマッピングテンプレートが自動で適用されるため、再設定不要。

✅ 多様なアップロード方法

• ローカルPCからのアップロードはもちろん、FTP/SFTPやURL指定にも対応。
• メディアファイル（画像など）の自動取り込みとAlt属性・タイトルの自動生成により、SEO対策も強化。

✅ 対応フォーマット

• CSV
• XML
• Excel（.xls / .xlsx）
• TSV

対応データとプラグイン例

利用シーン

• サイト立ち上げ時のデータ一括投入
• 商品情報の定期更新
• 他サイトからの移行（マイグレーション）
• CSVによる記事一括投稿管理
• マルチ言語対応サイトの構築・引っ越し

注意点

• フリー版では一部フィールド制限があります（例：ACFの高度なフィールドなど）。
• 脆弱性が報告された過去があるため、常に最新版へのアップデートが推奨されます。

まとめ

WP Ultimate CSV Importerは、柔軟性と拡張性を兼ね備えた、WordPress向けのインポート・エクスポート管理の決定版とも言えるプラグインです。特に複雑なサイト構築や更新業務を効率化したい方にとって、心強いツールとなるでしょう。

ですが、今回のように高機能なプラグインほどセキュリティリスクが潜んでいます。定期的なプラグインの更新と、セキュリティ意識の向上が、サイト運営者としての重要な責任です。