#wordpress

一番ひっかかったのは、攻撃そのものよりも「AIが拒否したら、セッションを切り直して別口でやり直す」というやり方でした。危ないのはモデルの能力だけじゃなくて、操作者がルールの隙間をどう埋めるかなんだな、と改めて感じます。安全機構があっても、それを一回の対話単位でしか見ていないなら、攻撃者はそこを何度でも叩ける。ここはかなり現実的な弱点に見えました。 それと、WordPressの脆弱性を片っ端から叩く“量の攻撃”と、ウクライナの重要インフラを狙う“手作業の攻撃”が同時に走っている、という描写も不穏でした。雑に見える広域スキャンの裏で、別の場所ではちゃんと人間が張り付いて深掘りしている。AIが入ったことで攻撃が自動化された、というより、雑な広さと執拗な深さが同居しやすくなった感じがして、そこに今の怖さがあると思います。 個人的には、AIが「攻撃を全部自動でやる魔法の道具」になったというより、既存の犯罪の作業効率を一段押し上げる道具として定着し始めた、という読み方のほうがしっくり来ました。しかも対象は単なるWebサイトだけではなく、行政やエネルギー系に近いところまで含まれている。こうなると、A

WordPressの開発版リポジトリで、かなり重い脆弱性の告知が出ました。認証されていない攻撃者が、ページテンプレートの解決処理を悪用して、テーマの外にあるローカルのPHPファイルを読み込ませられるという内容です。条件がそろうとリモートコード実行、つまりサーバー上で任意のコードを動かされるところまで行きます。しかも影響範囲は古い系統まで広く、実運用のサイト管理者が気にしないわけにいかない種類の話です。 GitHubのWordPress/wordpress-developに載った今回の告知は、WordPressの `get_page_template()` に関する問題を扱っています。`get_page_template()` は、ページを表示するときにどのテンプレートファイルを使うかを探す関数です。通常なら、有効なテーマの中から該当するPHPファイルを見つけて表示に使います。ところがこの脆弱性では、認証なしの攻撃者がその解決処理を細工し、アクティブなテーマディレクトリの外にある、読み取り可能なローカル `.php` ファイルを選んで読み込ませられるとされています。 ここで厄介なのは、「

WordPressの人気プラグイン群に、バックドア（不正侵入のための裏口）が仕込まれていた 影響を受けたのは30本以上のプラグイン、閉鎖されたものは31本 攻撃は買収後の信頼を利用したサプライチェーン攻撃だった 不正コードは8か月眠ってから本格的に動き出した SEOスパムをGooglebotにだけ見せるという、かなり厄介な手口だった WordPress.orgは強制アップデートとプラグイン閉鎖で対応したが、根本対策には手作業の確認が必要だった WordPressのプラグイン開発・販売ビジネスが、買収されたあとに丸ごと悪用される事件が起きました。 元記事が伝えているのは、「信頼されていたプラグインが、所有者が変わった瞬間に攻撃の踏み台になった」という話です。 しかも規模が大きい。1本のプラグインだけではありません。 Essential Plugin というブランドのもとで公開されていた 30本以上のWordPressプラグイン に、同じ系統のバックドアが仕込まれていたのです。これはかなりぞっとします。Word

WordPressにAIチャット機能を足すためのプラグインを作った記事 連携先にOpenRouterを使うことで、1つのAPIで複数のAIモデルを試せる 目指したのは、設定が少なくてすぐ使えるシンプルな設計 ユーザーはサイト上で自然に質問し、AIがその場で返答する 著者は、今後のWebサイトは静的なページから会話型へ寄っていくと見ている この記事は、WordPress用のAIチャットプラグインを作ってみた、という開発メモです。 著者の Dwight Bedsaul 氏は、「今のWebサイトはまだ静かすぎる」と感じたそうです。たしかに、普通のサイトって、ページを読んで、検索して、問い合わせフォームを送って……で終わりがちですよね。そこに「質問したら、その場で答えてくれるAI」が入ると、かなり印象が変わります。 個人的にも、これはわりと自然な流れだと思います。 検索して探すより、会話で聞いたほうが早い場面は多いですし、特にFAQやサポート系のサイトでは相性がよさそうです。 この記事のポイントのひとつが、OpenRouterを使っていることです。 Op