広く利用されているWordPressプラグインでサプライチェーン侵害が発生し、約20,000のウェブサイトが管理者権限の乗っ取りにさらされる事態となりました。
研究者らは、このプラグインに埋め込まれたバックドア型の認証バイパスを発見しました。この脆弱性は認証情報もユーザー操作も一切必要とせず悪用できます。
危機に瀕したWordPressプラグイン
セキュリティ企業のWordfenceは、自社の自律型AI脅威インテリジェンスシステム「PRISM」が、「Advanced Responsive Video Embedder」プラグイン（バージョン10.8.7）に仕込まれた悪意あるコードを、2026年7月28日の導入からわずか2時間以内に検知したと明らかにしました。
CVE-2026-18072として追跡されているこの脆弱性は、CVSSスコア9.8と評価されており、認証を経ていない攻撃者でも、プラグインのソースコードに埋め込まれたハードコードのトークンを含む単一のHTTPリクエストを送信するだけで、完全な管理者権限を取得できてしまいます。
開発者の見落としによって生じる典型的な脆弱性とは異なり、今回の事案は高度に仕組まれたサプライチェーン攻撃であるとみられています。分析によれば、このバックドアはプラグインのコードベースに意図的に挿入されたもので、おそらく開発者アカウントへの不正アクセスを経て仕込まれたと考えられます。
悪意あるロジックは「fn-update-check.php」という一見無害に見えるファイル名を通じて起動する仕組みになっており、通常のプラグイン機能を装うことで検査の目をすり抜けるよう設計されています。
この攻撃の中核をなすのが「_arve_uc_init()」という関数です。この関数は「init」フックに優先度1で登録されており、WordPressの初期化処理のごく早い段階、つまりあらゆる認証チェックが行われる前に実行されます。この関数は、「_wplogin」や「_wpm」といったリクエストパラメータから攻撃者が制御可能な入力値を読み取ります。
そして、それをプラグイン内にハードコードされたSHA-256ハッシュと照合します。この静的なハッシュは万能鍵として機能しており、プラグインのソースコードを閲覧できる者であれば誰でも入手可能な状態になっています。
与えられたトークンが埋め込まれたハッシュと一致すると、このバックドアはあらゆる認証制御を回避します。そして、無作為に選ばれた管理者アカウントとして攻撃者をログインさせます。
このコードは特定のプレフィックスを持つアカウントを意図的に避けるよう作られており、攻撃者が侵害済みシステム上にあらかじめ特権アカウントを仕込んでいた可能性を示唆しています。
悪用が成功すると、サイトのURLや管理者ユーザー名を含む機密情報が、外部の指令サーバーであるfontswp.comへと流出します。その後、攻撃者は永続的なセッションクッキーとともにWordPress管理ダッシュボードへリダイレクトされます。
この攻撃連鎖は非常に効率的で、必要となるのはステートレスな単一のHTTPリクエストのみです。ブルートフォース攻撃や列挙、事前のアクセスは一切必要ありません。
悪意ある意図を示すその他の兆候としては、難読化された変数名、PHPエラーの抑制、そして外部通信のための複数のフォールバック機構が挙げられます。これらはいずれも、プロによって作り込まれたバックドアの特徴です。
責任ある開示を受け、WordPress.orgのプラグインリポジトリチームは迅速に対応し、当該プラグインを配布から削除しました。Wordfenceも同時に、7月28日にはプレミアムユーザー向けにファイアウォール保護を展開しており、無料ティアのユーザー向けの対応は2026年8月27日に予定されています。
悪意あるバージョンの配布範囲は広くなかったとみられていますが、セキュリティ専門家は、該当バージョンのプラグインを稼働させているサイトはすべて侵害された可能性があるものとして扱うべきだと警告しています。
管理者に対しては、直ちにこのプラグインを削除し、すべてのユーザーアカウントを監査した上で、認証キーのローテーション、セッションの無効化、そして二次的な永続化メカニズムや不正な変更がないかを確認するための徹底的なフォレンジック調査を実施することが強く推奨されます。
今回の事案は、WordPressエコシステムにおけるソフトウェアサプライチェーン攻撃のリスクが高まっていることを浮き彫りにしています。信頼されてきたプラグインであっても、わずか数時間のうちに大規模な侵害の踏み台となり得るのです。
ALERT: 20+ government sites delivered malware to businesses and citizens. See full attack research to check your own exposure.
翻訳元: https://gbhackers.com/critical-wordpress-plugin-backdoor-exposes-20000-sites/
