WordPressエコシステムを狙った深刻なサプライチェーン攻撃により、約2万件のウェブサイトが管理者権限を完全に乗っ取られる危険にさらされていることが分かりました。広く利用されているプラグインに、意図的に仕込まれたバックドアが発見されたためです。
Wordfenceのクロエ・チェンバーランド(Chloe Chamberland)氏の開示によると、この脆弱性はCVE-2026-18072として追跡されており、CVSSスコアは9.8です。影響を受けるのはAdvanced Responsive Video Embedderプラグインのバージョン10.8.7です。
Wordfenceが提供するAI駆動型の脅威インテリジェンスプラットフォーム「PRISM」は、2026年7月28日に悪質なコードが仕込まれてからわずか2時間でこれを検知しました。この事例は、新たな脅威の特定において自動検知が果たす役割がますます大きくなっていることを浮き彫りにしています。
開発者のミスに起因する一般的な脆弱性とは異なり、今回の事案は確認されたサプライチェーン侵害にあたります。
このプラグインは、認証を経ていない攻撃者がわずか1回のHTTPリクエストで管理者権限を取得できる、ステルス型の認証バイパス機構が組み込まれる形で改ざんされていました。
これにより悪用のハードルが大幅に下がり、被害が広範囲に及ぶ可能性が高まっています。このバックドアは_arve_uc_init()という名前の関数として実装されており、WordPressの初期化処理の早い段階でinitフックを介して実行されます。
この関数は_wploginや_wpmといったリクエストパラメータから攻撃者が制御可能な入力を受け取り、プラグインのソースコードに直接埋め込まれたハードコードのSHA-256ハッシュと照合して検証します。
このハッシュは事実上、万能の認証トークンとして機能するため、プラグインの公開されているコードにアクセスできる攻撃者であれば誰でも、認証情報もユーザーの操作も必要とせずにこれを悪用できてしまいます。
トークンの検証が完了すると、この悪質なロジックは対象サイトの管理者アカウントを列挙し、そのうちの1つを選び出したうえで、WordPress組み込みの関数を使って認証済みの永続的なセッションを密かに確立します。
それと同時に、侵害されたサイトのURLと選ばれた管理者のユーザー名が、攻撃者に関連する外部の指令サーバー(C2サーバー)へと窃取されます。被害者はその後、シームレスにWordPressの管理ダッシュボードへリダイレクトされ、乗っ取りが完了する仕組みです。
Wordfenceが確認したところによると、悪用に必要なのは細工された1回のHTTPリクエストのみで、事前のアクセスもブルートフォース攻撃の試行もユーザーの関与も一切必要ありません。この手軽さが、実際の攻撃シナリオにおいてこの脆弱性を特に危険なものにしています。
責任ある開示を受けて、WordPress.orgのプラグインチームは迅速に対応し、さらなる拡散を防ぐため当該プラグインを公式リポジトリから削除しました。
Wordfenceも同日中にプレミアム顧客向けのファイアウォールルールを展開しており、無料ユーザー向けの保護機能は2026年8月27日に公開される予定です。
悪質なバージョンが広範囲に自動デプロイされたわけではないと報告されていますが、セキュリティ専門家は、影響を受けるバージョンを稼働させているサイトはすべて危険にさらされていると見なすべきだと警告しています。
管理者には、直ちに当該プラグインを削除し、インストール済みのバージョンを確認したうえで、WordPressのセキュリティキーをローテーションし、すべての管理者アカウントを監査し、有効なセッションを無効化し、持続的な侵害の仕組みや二次的なペイロードの有無についてファイルとデータベースを包括的に確認することが強く推奨されています。
今回の事案は、オープンソースエコシステムにおけるサプライチェーン攻撃の脅威が拡大していることを改めて浮き彫りにしています。信頼されているソフトウェアコンポーネントが武器化され、検知が困難な侵害を大規模に引き起こしかねないのです。
SOC調査の死角を減らし、脅威をより早期に封じ込めることで、ANY.RUNにより対応コストと業務への支障を軽減しましょう。
翻訳元: https://cyberpress.org/wordpress-plugin-backdoor-exposes-20000-sites/
