Avadaは Themeforestで12年間販売1位を記録しているレジェンドテーマです。現在も販売1位を維持していますが、エンバトマーケットの販売量が継続的に下落しており、人気が過去にしかなかった状況です。 Avada テーマは Avada Builderというページビルダーが搭載されています。この Builder には 2 つの重大なセキュリティ脆弱性が発見され修正されました。
最近になって Avada テーマと Slider Revolutionでセキュリティの脆弱性が次々と発見され、パッチされています。このためか最近更新していない Avada テーマを使用するサイトがマルウェアに感染したケースに数回触れました。 Avada テーマを使用している場合は、テーマとプラグインの両方を最新バージョンに更新してください。
WordPress Avada テーマセキュリティ更新プログラム
Avadaは、あらゆるサイトの制作に使用できるベストセリング多目的 WordPress テーマです。多くの機能を提供しますが、一方で最適化が正しく行われないと、サイトが遅くなる可能性があります。速度が重要な場合 GeneratePressのような軽くて速いテーマを使うことができます。
Avada テーマの Avada ビルダーに2つの脆弱性が発見されました。任意ファイル読み込みの脆弱性と SQLインジェクション 脆弱性がそれです。 Avadaを使用している場合は、以下を参照して最新バージョンにアップデートしてください。
脆弱性 1: 任意のファイルを読み込む (Arbitrary File Read)
CVE-2026-4782/CVSS 6.5(中間)
任意のファイルを読み取る脆弱性は、悪意のある攻撃者（ハッカー）がサーバー内で閲覧してはいけないファイルを自由に読み取る可能性がある脆弱性です。通常のユーザーであれば、アクセスできない機密設定ファイルやシステムファイルが消えてしまう可能性があります。
この脆弱性は、 Avada Builderプラグインのfusion_get_svg_from_file（）関数に存在し、fusion_section_separatorショートコードにcustom_svgパラメータを渡すと呼び出されます。この関数はファイル形式やパスの検証をまったく実行しないため、サブスクライバレベルのログイン権限のみを使用すると、サーバー内の任意のファイルを読み取ることができます。
特に、データベース（DB）接続情報と暗号化キーを含むwp-config.phpファイルまで公開される可能性があり、このファイルが消臭されると管理者アカウントの消臭とサイト全体の掌握につながる可能性があります。たくさん WordPress サイトが会員登録を許可しているため、購読者権限だけでサーバー内の機密ファイルを読み取ることができ、重大なリスクを招く可能性があります。
会員登録を許可していないサイトでは、CVE-2026-4782（任意のファイルを読む）の脆弱性の実質的なリスクは大幅に低下します。会員登録が妨げられており、管理者・編集者以外に低い権限のアカウントが全くないサイトであれば、この脆弱性の実質的な攻撃の可能性はほとんどありません。
この WordPress サイトの場合、最初に会員登録を許可したが、会員制サイトではなく、会員登録機能を防いだ状態です。 😄
会員登録機能が不要な場合 設定 » 一般から 会員登録の "誰でも会員登録できます「オプションをオフにしてください。
脆弱性 2: SQL インジェクション (SQL Injection)
CVE-2026-4798/CVSS 7.5(高)
SQL Injectionは、攻撃者が悪意のあるSQLコマンドをWebサイトのデータベースクエリに挿入して機密データを抽出したり、データベース（DB）を操作したりする可能性がある脆弱性です。アバディビルダーで発見されたもの 時間ベースのブラインドSQLインジェクション 方式では、攻撃結果が画面に直接出力されなくても応答遅延時間を利用してデータを少しずつ取り出す方式です。
この脆弱性は product_order GET パラメータで発生します。ユーザーが入力した値はSQLのORDER BY句にそのまま挿入されます。 WordPressの wpdb->prepare() エスケープ処理を経ず、悪意のある SQL 命令の注入が可能です。
この脆弱性は、 ログインせずに攻撃が可能（非認証）という点でさらに深刻です。ただし、過去に WooCommerceがインストールされているが無効になっているサイトでのみ悪用が可能であるという条件があります。攻撃に成功すると、パスワードハッシュを含む機密データをデータベースから抽出できます。
対応方法
Avada 開発チームは2026年4月13日バージョン3.15.2で部分パッチをデプロイし、2026年5月12日バージョン3.15.3で完全な最終修正を完了しました。
Avada テーマを使用している場合は、すぐに Avada Builderをバージョン3.15.3以降に更新してください。 可能であれば、最新バージョンにアップデートすることをお勧めします。 2026年5月20日現在、最新 Avada バージョンは7.15.3で、 Avada Builderの最新バージョンは3.15.3です。 Slider Revolutionを使用している場合は、このプラグインも必ず最新バージョンにアップデートしてください。
アップデートに加えて、次の点を確認してください。
- WordPress 管理者アカウントのリストに未知のアカウント（特に管理者権限）が追加されていないことを確認する
- wp-config.phpのデータベースパスワードとセキュリティキー（Salt）の変更→ログインしたユーザーはすべてログアウトします。
- Wordfenceなどのセキュリティプラグインをインストールし、定期的にマルウェアスキャンを行うことでセキュリティを強化。
スパムサイトや奇妙なプロモーションサイトにリダイレクトされるなど、異常な症状が発生した場合、サイトがマルウェアに感染している可能性が高くなります。
マルウェアに感染した場合 FTPに接続して WordPress フォルダを見ると、奇妙な名前のファイルが作成されている可能性があります。また、wp-config.phpファイルや.htaccessファイル、テーマの関数ファイルに難読化された奇妙なコードが挿入される場合もあります。
최근 Avada テーマが使用されているサイトでマルウェアの削除操作を実行しました。そのサイトの場合、チャイルドテーマの関数ファイルに奇妙なコードが挿入されていました。
マルウェアに感染した場合は、すべてのファイルをスキャンしてマルウェアを削除し、可能であれば WordPress、テーマ、プラグインをすべて最新バージョンに更新することをお勧めします。また、DBに悪意のあるスクリプトが挿入されていないかどうかをスキャンしてマルウェアを削除する必要があります。
クラウドウェイズ 一部のWebホスティングでは、マルウェアを検出して警告を送信する機能を提供することがあります。クラウドウェイズは、マルウェア保護機能を通じてマルウェアを検出し、ユーザーに通知を送信します。ユーザーはマルウェア保護セクションでマルウェアのパスを確認して、実際にマルウェアに感染しているかどうかを判断できます。悪意のあるコードを誤検知して警告を送信することもあります。
👉マルウェア（マルウェア）の削除など WordPress またはWebホスティング関連のトラブルシューティングに問題がある場合 ここでサービス（有料）をご依頼することができます。
コメントを残す