WordPressサプライチェーン攻撃、BdThemesプラグインを悪用して不正な管理者アカウントを作成しウェブシェルを設置

複数のBdThemesWordPressプラグインに影響を及ぼすサプライチェーン侵害により、攻撃者は管理者セッションを乗っ取り、プラグインのソースコードを改変したりプラグインの更新を必要としたりすることなく、不正な管理者アカウントの作成や永続的なウェブシェルの設置を行うことが可能になっていました。

Wordfence Threat Intelligenceの報告によると、同社は2026年8月7日にこのインシデントについて通報を受けたということです。影響を受けたプラグインは公式のWordPress.orgリポジトリを通じて配布されていましたが、WordPress Pluginsチームが調査を進める間、一時的にオフラインとされました。

このインシデントは、プラグインリポジトリに悪意あるコードが追加されたことによるものではなく、BdThemesのプロモーションバナー用インフラを通じて配信されるリモートJSONコンテンツが汚染されたことに起因するとみられています。

WordPressサプライチェーン攻撃がBdThemesプラグインを悪用

BdThemesのプラグインは、Biggoptiと呼ばれる内部コンポーネントを利用し、リモートAPIエンドポイントからプロモーションバナーを取得してWordPress管理画面内に表示しています。このAPIは、Cloudflareで保護されたDigitalOcean Spacesバケット上にホストされた静的JSONファイルに依存しています。

研究者らは、Biggoptiがリモートから供給される`display_id`の値を、適切なエスケープ処理を行わないままHTMLの`id`属性に直接挿入していることを発見しました。同じコードパス内の別の属性ではHTMLエスケープが適用されているものの、`id`値については属性インジェクションに対して脆弱な状態のままでした。

攻撃者はベンダーのオブジェクトストレージのコンテンツへの書き込みアクセス権を何らかの方法で入手し、正規のJSONレスポンスを悪意ある値に置き換えたとみられています。

改ざんされた`display_id`はHTML属性を閉じたうえで`onanimationstart`イベントハンドラを追加します。その結果、認証済みの管理者がwp-admin画面を読み込むたびに、注入されたCSSアニメーションが気付かれることなく実行される仕組みです。

Wordfenceは、CVSSスコア5.4の中程度の深刻度を持つクロスサイトスクリプティング(XSS)問題としてこの欠陥を追跡しています。この欠陥は2026年3月1日にリリースされたPrime Sliderバージョン4.1.9で最初に混入し、その後他のBdThemes製品にも波及したとみられています。

Hacking& Cracking

主要なペイロードである`w2.js`は、被害者である管理者の認証済みブラウザセッションを利用して`ia-cdn[.]com`と通信します。攻撃対象とすべきかどうかを判定したうえで、WordPress REST APIまたは標準のユーザー作成フローを通じて新規の管理者アカウントを作成しようと試みます。

このペイロードはさらに、`wp-smart-thumbnails`のような無害に見える名前を使った偽のプラグインをダウンロードしてインストールします。このプラグインには`emer-run.php`というウェブシェルが仕込まれており、攻撃者はこれを直接呼び出すことでさらなる永続性を確保できます。

研究者らは、`mu-plugins`ディレクトリに設置された追加のMust-Useプラグイン型バックドアも確認しています。1つは`_wplogin`というURLパラメータを使ったマジックリンクによる管理者アクセスを可能にするもので、もう1つはデータベースのクエリ結果とユーザー総数を改ざんすることで悪意あるアカウントを隠蔽するものです。このマルウェアはファイルのタイムスタンプを2025年9月まで遡らせるとされており、タイムライン分析を困難にしています。

もう一つのペイロードである`x.js`は、被害サイトのホスト名をもとに予測可能な管理者認証情報を生成します。ユーザー名は`bd_`に続けてbase36由来の6文字の値を組み合わせたパターンで作成され、パスワードは`Bd@26!x`という形式になります。この予測可能な手法により、攻撃者は被害サイトの一覧を維持管理することなく、感染サイトの認証情報を導き出すことができます。

管理者は、以下の侵害の痕跡について、WordPressのユーザーアカウント、MU-pluginディレクトリ、インストール済みプラグイン、データベースオプション、そして外向きの通信を直ちに確認する必要があります。

影響を受けるBdThemesプラグインを使用しているサイトは、ベンダーおよびWordPress.orgから修復に関するガイダンスが提供されるまで、該当のコンポーネントを削除または無効化してください。

この攻撃は信頼されたリモートAPIレスポンスを通じて実行されるため、従来型のファイル整合性チェックでは最初の侵害を検知できない可能性があります。

そのため、管理者アカウントの作成、外向きのJavaScript取得、プラグインのインストールイベント、そして想定外のmu-pluginsファイルを監視することが重要です。

侵害指標(IoC)

注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的にディフェング処理(例: [.])を施しています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自組織のSIEMなど、管理された脅威インテリジェンス基盤内でのみ行ってください。

新たなフィッシングやマルウェアが貴社に被害を及ぼす前に食い止めましょう。 世界15,000のSOCから得られるライブインテリジェンスを統合

Antivirus& Malware