CVE-2020-25213とは？WordPress File Manager Pluginの脆弱性をわかりやすく解説

ひとことでWordPress の File Manager プラグインで、外から PHP のコードを置かれる弱点です。
深刻度9.8 緊急CVSS v3.1
まずやることFile Manager プラグインの版を確かめる

基本情報（データから表示）

CVE番号	CVE-2020-25213
製品	WordPress File Manager Plugin
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2021-11-03
米国政府機関の対応期限	2022-05-03
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-434（危険な種類のファイルのアップロードの制限なし）

何が起きた

WordPress のプラグイン File Manager（wp-file-manager）で、安全でない見本のファイルが PHP として動く名前に変えられていたため、攻撃者がファイルをアップロードして PHP のコードを実行できる弱点が見つかりました。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用できるとされています。NVD の説明によると、2020 年の August と September に実際に悪用されており、CISA も実際の悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

File Manager プラグインを入れている WordPress のサイトが対象です。6.9 より前の版が影響を受けます。

何をすればいい

プラグインの変更履歴によると、6.9 でセキュリティの問題が直されています。File Manager プラグインが 6.9 以降に更新されているか確認してください。プラグインの公式の案内（変更履歴）を確認してください。

やることチェックリスト

File Manager プラグインの版を確かめる
File Manager を 6.9 以降に更新する
変更履歴で 6.9 の修正を確かめる

用語メモ

プラグイン用語集で見る: WordPress などに後から追加して、機能を増やす小さなソフトウェアです。
PHP 用語集で見る: Web サイトの裏側（サーバー）で動くプログラムを書くための言語です。
アップロード用語集で見る: 手元のファイルをインターネットの先のサーバーへ送ることです。

次に読む

同じ製品・メーカーの脆弱性WordPress Core（CVE-2026-87902）8.1 重要CVSS v3.1WordPressで、ページのテンプレートの処理を悪用して遠隔でプログラムを実行される弱点です。同じ製品・メーカーの脆弱性WordPress Core（CVE-2026-63030）9.8 緊急CVSS v3.1WordPressのREST APIのまとめて送る窓口で、道筋の取り違えから、別の弱点と組み合わせて乗っ取られる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

WordPress File Manager Plugin Remote Code Execution Vulnerability

概要

WordPress File Manager plugin contains a remote code execution vulnerability that allows unauthenticated users to execute PHP code and upload malicious files on a target site.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る

WordPress File Manager Plugin のリモートコード実行の脆弱性（CVE-2020-25213）