信頼されている WordPress プラグインのアップデートが、サイト侵害の経路になりかねない事態となりました。攻撃者が、マルウェアに感染した Rank Math PRO のコピーを配布したためです。
Rank Math によると、有料プラグイン Rank Math PRO のバージョン 3.0.123 のうち、10月15日から10月16日にかけてダウンロードまたは更新されたコピーの一部に悪意あるコードが含まれていました。このコードは、プラグインを有効化するとウェブサイトを侵害する可能性があります。
同社は、影響を受けたファイルを削除し、バージョン 3.0.124 を公開したと説明しています。ただし、アップデートするだけでは、感染の痕跡が残る可能性があります。
今回のインシデントは、サードパーティ製ソフトウェアに依存する組織にとってのサプライチェーンリスクを浮き彫りにしました。管理者が公式の配布元からプラグインを入手しても、ベンダーの配布プロセスが侵害されていれば、被害を受ける恐れがあるのです。
何が起きたのか
Rank Math は、WordPress 向けの人気の検索エンジン最適化（SEO）プラグインです。サイト運営者が検索結果での露出を高めるために利用しています。
BleepingComputerはWordPress の統計を引用し、無料版プラグインの有効インストール数は400万件を超えると伝えています。Rank Math PRO は有料機能を提供しており、今回のセキュリティインシデントで影響を受けたのは PRO 版です。Rank Math は、影響を受けた PRO ユーザーの数を公表していません。
Rank Math はセキュリティ通知で、Rank Math PRO バージョン 3.0.123 の一部のコピーにマルウェアが含まれていたと公表しました。影響を受けたコピーがダウンロードされたのは、10月15日 20:02（UTC）から10月16日 07:12（UTC）までの11時間10分の間です。同社は、影響を受けたファイルを削除し、クリーンなバージョン 3.0.124 を公開したとしています。
このマルウェアは、影響を受けたプラグインが有効化されると、ウェブサイトを侵害する可能性があります。さらに懸念されるのは、感染したサイトに誰かがアクセスするたびに、隠されたバックドアを再生成しうる点です。つまり、バックドアを復元する仕組みを先に止めないまま個々の悪意あるファイルを削除しても、侵害を解消できない可能性があります。
Rank Math は、影響を受けたコピーを有効化したサイト運営者に対し、ウェブサーバーからアクセスできる機密情報が漏えいした可能性があると想定するよう警告しています。
漏えいしうる情報には、パスワード、データベースの認証情報、wp-config.php に保存されたセキュリティキーとソルト、ゲートウェイキー、SMTP の認証情報などがあります。そのほか、API キー、ホスティングコントロールパネルの認証情報、FTP・SFTP・SSH のアクセス認証情報、環境変数に保存されたシークレットも含まれます。
ウェブサイトを運営する組織にとっての意味
顧客の獲得や情報発信、事業活動をウェブサイトに頼る組織にとって、まず問題となるのはサイトの完全性です。侵害されたプラグインは、より広範なシステムへのアクセスにつながる経路にもなりえます。
サイトの用途や攻撃者がアクセスした範囲によっては、業務の中断や機密情報の漏えい、顧客の信頼の低下を招く恐れがあります。ただし、これは報告されたマルウェアによって起こりうる影響であり、影響を受けたすべてのサイトが被害に遭ったと確認されたわけではありません。
リスクはサイトそのものにとどまりません。攻撃者がサーバーに保存された認証情報や API キーを入手すれば、付与された権限の範囲で、接続先のサービスにアクセスされる可能性があります。企業は、侵害されたサイトだけでなく、そのサイトからアクセスできる外部アカウントやシステムも評価することが重要です。
今回のインシデントは、サプライチェーンの難しいリスクも示しています。ベンダー公式のチャネルで配布されるソフトウェアでさえ、侵害の起点になりえるということです。
管理者は通常、問題を修正し、サイトの安全を保つためにアップデートを適用します。しかし、ソフトウェアの配布経路が侵害されていれば、アップデートが悪意あるコードを持ち込むことになります。そのコードが実行されてしまうと、クリーンなバージョンをインストールしても、コードが加えたほかの変更は消えない可能性があります。
教訓は、公式ベンダーのプラグインを更新しないようにすることではありません。タイムリーな更新に加えて、信頼できるバックアップ、不正な変更の監視、認証情報の厳格な管理、そして元のソフトウェア以外にも及ぶ侵害を想定した復旧手順を組み合わせることです。
今すぐできる対策
Rank Math PRO を利用している組織は、まず、影響を受けた期間中にバージョン 3.0.123 をダウンロードまたは更新したかどうかを確認してください。
該当し、かつ影響を受けたプラグインを有効化した場合、Rank Math はサイトが侵害されている可能性があると想定するよう勧めています。同社は、インシデント発生期間より前に作成したクリーンなバックアップから、サイトのファイルとデータベースを復元することを推奨しています。バックアップがない場合は、同社の手動クリーンアップ手順に従ってください。プラグインを更新するだけでは不十分です。
この期間外にインストールした場合や、インストールしたものの有効化していない場合、同社は侵害を確認していません。ただし Rank Math は、こうしたユーザーにも、既存の PRO プラグインを削除し、クリーンなバージョン 3.0.124 をインストールするよう勧めています。
プラグインをいつダウンロードまたは有効化したかわからない管理者は、インストール履歴を確認し、不審な変更がないか調査してください。サポートが必要な場合は、[email protected] から Rank Math に問い合わせることもできます。
関連ニュース：Microsoft は、10月の Windows Server セキュリティ更新プログラムがオンプレミスの Exchange Server 環境に障害を引き起こす可能性があると認めました。メール配信の遅延、Web メールへのサインイン失敗、メールボックスの可用性の問題が発生します。
翻訳元: https://www.esecurityplanet.com/malware/news-rank-math-pro-wordpress-plugin-malware-backdoor/
