A critical security flaw in the Sneeit Framework plugin for WordPress is being actively exploited in the wild, per data from Wordfence. The remote code execution vulnerability in question is CVE-2025-6389 (CVSS score: 9.8), which affects all versions of the plugin prior to and including 8.3. It has been patched in version 8.4, released on August 5, 2025. The plugin has more than 1,700 active

Active exploits target Sneeit plugin CVE-2025-6389 and ICTBroadcast CVE-2025-2611, enabling RCE, backdoors, and Frost DDoS botnet delivery.

Active exploits target Sneeit plugin CVE-2025-6389 and ICTBroadcast CVE-2025-2611, enabling RCE, backdoors, and Frost DDoS botnet delivery.

(画像クレジット: Shutterstock) WordFenceがSneeit Frameworkプラグインにおける重大なRCEの脆弱性（CVE-2025-6389）を公開、影響範囲はバージョン8.3以下 悪用されると、攻撃者は管理者アカウントを作成し、悪意あるプラグインをインストールし、WordPressサイトを乗っ取ることが可能 ユーザーにはv8.4へのアップデート、怪しい管理者アカウント、不審なPHPファイル、悪意あるAJAXアクティビティの監視が推奨されている WordFenceのセキュリティ研究者は、人気プラグインに存在する重大度の高い脆弱性について警告している。この脆弱性により、脅威アクターはWordPressサイト上で自分自身を管理者として追加できてしまう。 先週公開されたセキュリティアドバイザリの中で、WordFenceはSneeit Frameworkにリモートコード実行（RCE）のバグを発見したと述べた。Sneeit Frameworkは、WordPress管理者がテーマオプション、レイアウト、カスタム機能などを管理するために使用するバックエンドツールキットだ。このバグはCVE-2025-6389として追跡されており、重大度スコアは9.8/10（クリティカル）と評価され、プラグインの8.3以前のすべてのバージョンに影響を与える。 2025年8月初旬にリリースされたバージョン8.4は影響を受けない。The Hacker Newsによると、このプラグインは現在1,700件以上のアクティブインストールがあるという。 安全を守る方法 この脆弱性の仕組みについて説明する中で、WordFenceは、悪意あるアクターが任意のPHP関数を呼び出し、それに新しい管理者ユーザーを作成させることができると述べている。攻撃者はそのアカウントを使って、標的サイトを完全に掌握できる。その後、悪意あるプラグインを容易にインストールしたり、データスクレイパーを追加したり、被害者を他サイトへリダイレクトしたり、フィッシング用ランディングページを設置したりすることが可能になる。 犯罪者は、この欠陥が公に発表された直後から悪用を開始したと報告されている。初日だけで、WordFenceは13万1,000件以上の攻撃をブロックし、現在でも1日あたりの攻撃件数は約1万5,000件で推移している。 この脆弱性から身を守る最善の方法は、プラグインをバージョン8.4にアップデートすることだ。ユーザーには、WordPress本体だけでなく、他のすべてのプラグインやテーマも常に最新の状態に保つよう推奨されている。さらに、使用していない要素はすべてプラットフォームから削除すべきだ。 また、ウェブ管理者が注意すべき侵害の兆候も存在する。たとえば、脆弱なAJAXコールバックを通じて作成された、新たな不正なWordPress管理者アカウントの出現などだ。 もう一つの危険信号は、サーバーにアップロードされた悪意あるPHPファイルの存在である。xL.php、Canonical.php、.a.php、simple.php、up_sf.phpといった名前のウェブシェルや、危険なファイルタイプの実行を許可するよう設計された不審な.htaccessファイルなどが含まれる。 侵害されたサイトには、攻撃者のシェル検出ツールによって生成されたfinderdata.txtやgoodfinderdata.txtといったファイルが含まれている可能性もある。既知の攻撃元IP（185.125.50.59、182.8.226.51、89.187.175.80など）からのAJAXリクエストが成功していることを示すログファイルや、レポート内に記載されている他のIPも、この脆弱性を利用してサイトへアクセスされた強力な証拠となる。 翻訳元:

Sneeit WordPress RCE is being exploited in the wild, and an ICTBroadcast flaw is helping drive new Frost botnet attacks against vulnerable systems.

A Sneeit WordPress RCE vulnerability is being actively exploited in the wild. Concurrently, a bug in ICTBroadcast fuels Frost botnet attacks, posing dual threats.

Active exploits target Sneeit plugin CVE-2025-6389 and ICTBroadcast CVE-2025-2611, enabling RCE, backdoors, and Frost DDoS botnet delivery.

Active exploits target Sneeit plugin CVE-2025-6389 and ICTBroadcast CVE-2025-2611, enabling RCE, backdoors, and Frost DDoS botnet delivery.

A remote code execution vulnerability (CVE-2025-6389) in the Sneeit Framework WordPress plugin is being actively exploited since November 24, 2025. […]

Wordfenceのデータによると、WordPress向けSneeit Frameworkプラグインに存在する重大なセキュリティ欠陥が、実環境で積極的に悪用されています。 問題となっているリモートコード実行の脆弱性はCVE-2025-6389（CVSSスコア：9.8）で、バージョン8.3以前を含むそれ以前のすべてのプラグインバージョンに影響します。この脆弱性は2025年8月5日にリリースされたバージョン8.4で修正されています。同プラグインは1,700件以上のアクティブインストールがあります。 「この問題は、関数がユーザー入力を受け取り、それをcall_user_func()に渡していることに起因します」とWordfenceは述べています。「これにより、認証されていない攻撃者がサーバー上でコードを実行できるようになり、バックドアの注入や、たとえば新たな管理者ユーザーアカウントの作成などに悪用される可能性があります。」 言い換えると、この脆弱性は任意のPHP関数（wp_insert_user()など）を呼び出すために悪用でき、悪意ある管理者ユーザーを追加されるおそれがあります。攻撃者はこれを武器化してサイトの制御を奪い、サイト訪問者を他の怪しいサイト、マルウェア、スパムなどへリダイレクトさせる悪意あるコードを注入できます。 Wordfenceによると、実環境での悪用は2025年11月24日、すなわち脆弱性が公開された当日から始まっており、同社はこの欠陥を狙った13万1,000件以上の試行をブロックしたといいます。このうち、直近24時間だけで15,381件の攻撃試行が記録されています。 攻撃の一部では、「/wp-admin/admin-ajax.php」エンドポイントに特別に細工したHTTPリクエストを送信し、「arudikadis」のような悪意ある管理者ユーザーアカウントを作成したり、バックドアアクセスを付与するとみられる悪意あるPHPファイル「tijtewmg.php」をアップロードしたりしています。 攻撃は以下のIPアドレスから発生しています。 185.125.50[.]59 182.8.226[.]51 89.187.175[.]80 194.104.147[.]192 196.251.100[.]39 114.10.116[.]226 116.234.108[.]143 WordPressのセキュリティ企業である同社はまた、ディレクトリのスキャン、ファイルおよびそのパーミッションの読み取り・編集・削除、ZIPファイルの展開などの機能を備えた悪意あるPHPファイルも観測したと述べています。これらのPHPファイルは「xL.php」「Canonical.php」「.a.php」「simple.php」といった名前で確認されています。 Wordfenceによると、「xL.php」シェルは、脆弱性を悪用するよう設計された別のPHPファイル「up_sf.php」によってダウンロードされます。また、このファイルは侵害されたホストに対し、外部サーバー（「racoonlab[.]top」）から「.htaccess」ファイルもダウンロードします。 「この.htaccessファイルは、Apacheサーバー上で特定の拡張子を持つファイルへのアクセスが許可されるようにします」とIstván Mártonは述べています。「これは、たとえばアップロードディレクトリ内で、他の.htaccessファイルがスクリプトへのアクセスを禁止している場合などに有用です。」 ICTBroadcastの脆弱性が「Frost」DDoSボットネットの配布に悪用# この公開情報と同時に、VulnCheckは、重大なICTBroadcastの脆弱性（CVE-2025-2611、CVSSスコア：9.3）を悪用する新たな攻撃を観測したと述べています。これは同社のハニーポットシステムを標的にしており、「frost」と呼ばれるバイナリの複数のアーキテクチャ向けバージョンをダウンロードするシェルスクリプトステージャを取得させるものです。 ダウンロードされた各バージョンは実行された後、活動の痕跡を隠すためにペイロードおよびステージャ自身が削除されます。この活動の最終的な目的は、関心のある標的に対して分散型サービス拒否（DDoS）攻撃を実行することです。 「『frost』バイナリは、DDoSツールとスプレッダーのロジックを組み合わせており、15件のCVEに対する14個のエクスプロイトを含んでいます」とVulnCheckのJacob Bainesは述べています。「重要なのは、その拡散方法です。運用者はインターネット全体を無差別にエクスプロイトしているわけではありません。『frost』はまず標的をチェックし、期待する特定のインジケータを確認した場合にのみエクスプロイトを実行します。」 たとえば、このバイナリは、HTTPレスポンスに「Set-Cookie: user=(null)」が含まれ、続く2回目のリクエストへのレスポンスに「Set-Cookie: user=admin」が含まれている場合にのみCVE-2025-1610を悪用します。これらのマーカーが存在しない場合、バイナリは休止状態のままで何もしません。攻撃はIPアドレス87.121.84[.]52から発信されています。 これらの特定された脆弱性はさまざまなDDoSボットネットによって悪用されていますが、インターネット上に公開されていてこれらに脆弱なシステムが1万台未満であることから、最新の攻撃は小規模かつ標的型のオペレーションであることを示す証拠があります。 「これにより、これらのCVEを基盤として構築されるボットネットの規模は制限され、このオペレーターは比較的小さなプレイヤーであることになります」とBainesは述べています。「注目すべきは、このサンプルを配布したICTBroadcastのエクスプロイトがバイナリ内には存在しないことであり、これは運用者がここでは見えない追加の能力を有していることを示しています。」 翻訳元:

Angriffswelle auf WordPress-Plugin rollt seit Ende November

A severe RCE flaw in Sneeit Framework plugin is being exploited, putting thousands of WordPress sites at risk until patches are applied.

The Sneeit Framework plugin for WordPress is vulnerable to Remote Code Execution in all versions up to, and including, 8.3 via the sneeit_articles_pagination_callback() function. This is due to the function accepting user input and then passing that through call_user_func(). This makes it possible for unauthenticated attackers to execute code on …

Vulnerability-Lookup - Fast vulnerability lookup correlation from different sources.

Vulnerability-Lookup - Fast vulnerability lookup correlation from different sources.