ペンタセキュリティシステムズ(ペンタセキュリティ)は6月24日、同社が発行するWebセキュリティレポートの最新版「EDR-Rdport(2015年5月)」を公開した。

レポートによると、5月に確認されたWeb経由での脆弱性攻撃の数は全部で36件。「クロス・サイト・スクリプティング(XSS)」が最も多く17件であった。2番目に多かった攻撃が「SQLインジェクション」で15件、「ローカルファイル挿入」が3件、「ファイルアップロード」が1件であった。

攻撃を危険度別に分類すると、攻撃が成功した場合、システムへ侵入される恐れがある「早急対応要」が4件(11%)、システム情報を取得するか、あるいはクラインに2次被害を及ぼす危険性がある「高」が32件(89%)、情報漏えいの恐れがある「中」が0件であった。前回に引き続いてすべてが危険度が高い攻撃であった。

攻撃の難易度別では「易」が33件(92%)、「中」が3件(8%)、「難」が0件。難易度の詳細は以下の通りだ。

「易」は1回のリクエストで攻撃が成立するパターンと、複数回トライするも既知の攻撃コードを採用したパターンのいずれかが該当する。「中」は、攻撃手法自体は難しくないが、迂回コードを採用したパターン、「難」は複数の脆弱性を付いた攻撃パターン、対象のシステムの重要な情報を取得するために高度な攻撃コードを採用したパターン、知らされていない攻撃コードを採用したパターンのいずれかが該当する。

ソフトウェア別の脆弱性発生件数は「WordPress」が20件、「JSPMyAdmin」が5件、「eFront」が2件、「SynTail」「SynaMan」「Syncrify」「Xeams」「SQLBuddy」「WingFTP Server Admin」「Pluck」「PHPcollab」「Chronosite」が各1件であった。

同社は今回のレポートを受け、5月も前回に引き続きXSS攻撃が多かった点に触れている。「スクリプトをパラメータに挿入する単純な攻撃であり、基本的な入力値や特殊文字をチェックすることで十分遮断できる」と、攻撃を防ぐこと事態は難しくなかったという。

代表的なCMSであるWordpressの脆弱性が最も狙われやすいことを危惧している。ユーザー数が多く、多様なPluginを提供することなどが標的になる原因だと指摘している。そのため、「Wordpressを導入する企業の管理者は、常にセキュリティアップデートを最新状態に維持する必要がある」と強調した。

2番目に攻撃が多かったソフトウェアのJSPMyAdminについては、今回の攻撃自体は危険度が低いものであったが、ユーザー数が多いことから、今後攻撃の増加が予想されるという。同社は、定期的なセキュリティパッチを行い、攻撃リスクの低減に努めるようにとソフトウェア管理者に呼びかけた。