誰かがWordPressプラグイン30本を買収し、そのすべてにバックドアを仕込んだ

(anchor.host)

6 ポイント投稿者 GN⁺ 17 일 전 | 8件のコメント | WhatsAppで共有

同一の攻撃者が30本以上のWordPressプラグインを買収した後、最初のコミットでバックドアコードを挿入し、サプライチェーンを汚染
悪性コードは約8か月間潜伏した後、2026年4月初旬に有効化され、多数のサイトにスパムリンクとリダイレクトを注入
WordPress.orgは2026年4月7日に、わずか1日で関連する31本のプラグインを恒久的に閉鎖し、強制アップデートを配布
攻撃者はFlippaで「Essential Plugin」ポートフォリオを6桁金額で取得した後、Ethereumスマートコントラクトを使ってC2ドメインを隠蔽
今回の事件は2017年の「Display Widgets」事例に類似した大規模サプライチェーン攻撃の再現であり、WordPressプラグイン生態系の信頼管理の欠如を露呈

WordPressプラグインのサプライチェーン攻撃事例

30本以上のWordPressプラグインが同一の攻撃者に買収された後、バックドアを仕込まれる事件が発生
攻撃者はFlippaで「Essential Plugin」ポートフォリオを6桁金額で買収した後、最初のコミットで悪性コードを追加
バックドアは8か月間非アクティブのまま潜伏し、2026年4月初旬に有効化されて多数のサイトを感染させた
WordPress.orgは2026年4月7日に、わずか1日で関連プラグイン31本を恒久的に閉鎖
今回の事件は2017年の「Display Widgets」事件に類似したサプライチェーン攻撃パターンの再現と評価される

攻撃の発見と初動対応

あるクライアントサイトのwp-adminセキュリティ警告を通じて最初の感染が確認された
- WordPress.orgプラグインチームは、「Countdown Timer Ultimate」プラグインに未認可アクセスを可能にするコードが含まれていたと警告
- WordPress.orgは強制アップデート（v2.6.9.1）を配布したが、すでに一部サイトは破損した状態だった
セキュリティ点検の結果、プラグインのwpos-analyticsモジュールがanalytics.essentialplugin.comに接続してwp-comments-posts.phpファイルをダウンロードし、それを通じてwp-config.phpに大規模なPHPコード注入が行われていた

マルウェアの動作方式

注入されたコードはスパムリンク、リダイレクト、偽ページをC2サーバーから受け取り、Googlebotにのみ表示
攻撃者はEthereumスマートコントラクトを利用してC2ドメインを動的に管理
- ブロックチェーンRPCエンドポイント経由でドメインを照会するため、一般的なドメインブロックでは遮断できない
WordPress.orgの強制アップデートはプラグインの電話ホーム機能だけを停止させ、wp-config.phpの悪性コードはそのまま残っていた

バックアップ分析による感染時点の追跡

CaptainCoreのresticバックアップを利用して、8つの時点ごとのwp-config.phpファイルサイズを比較
- 2026年4月6日 04:22〜11:06 UTCの間に、ファイルサイズが3,345バイトから9,540バイトへ増加
- 感染はこの6時間44分の間に発生したことが確認された

バックドアの挿入時点とコード構造

プラグインバージョン2.6.7（2025年8月8日）で191行の新規コードが追加され、バックドアが挿入
- 変更ログには「WordPress 6.8.2互換性確認」と記載されていた
追加されたコードの主な機能
1. fetch_ver_info()が攻撃者サーバーのデータを@unserialize()で処理
2. version_info_clean()がリモートデータから受け取った関数名を実行
3. 認証なしで呼び出せるREST APIエンドポイントを作成（permission_callback: __return_true）
この構造は**任意関数実行（RCE）**を可能にし、8か月間非アクティブのまま維持された後、2026年4月5〜6日に有効化された

プラグイン買収の経緯

元の開発チームはインド拠点のWP Online Supportで、2015年からプラグインを開発
- その後Essential Pluginへとリブランディングし、30本以上の無料・有料プラグインを運営
2024年末に売上が35〜45%減少すると、Flippaに事業全体を売りに出した
2025年初頭、「Kris」という人物がSEO・暗号資産・オンラインギャンブルのマーケティング経験を持つ状態で買収
- Flippaは2025年7月、この取引を成功事例としてブログに掲載
買収後最初のSVNコミット（2025年8月8日）で、即座にバックドアコードが追加された
2026年4月5〜6日、analytics.essentialplugin.comが全サイトに悪性ペイロードの配布を開始
2026年4月7日、WordPress.orgがEssential Pluginの全プラグイン（31本）を恒久的に閉鎖

閉鎖されたプラグイン一覧

Accordion and Accordion Slider、Countdown Timer Ultimate、Popup Anything on Click、WP Blog and Widgets、WP Team Showcase and Sliderなど、30本以上のプラグイン
WordPress.orgで当該作者を検索しても結果は表示されない
analytics.essentialplugin.comは現在{"message":"closed"}という応答を返す

過去の類似事例

2017年、「Daley Tias」という人物がDisplay Widgetsプラグイン（20万インストール）を$15,000で買収後、スパムコードを挿入
その後、9本以上のプラグインを同じ方法で感染させた
今回の事件は同じ手口を**より大きな規模（30本以上）**で再現した事例と確認された

被害復旧とパッチ作業

WordPress.orgの強制アップデートは一時的措置にすぎない
- wpos-analyticsモジュール自体は依然として存在
独自にバックドアモジュールを完全に除去したパッチ版を作成
- 22の顧客サイトのうち12サイトでEssential Plugin系プラグインを発見し、10本を直接パッチ適用
- パッチ版はwpos-analyticsディレクトリを削除し、ローダー関数を除去、バージョン名に-patchedを追加
例: Countdown Timer Ultimate、Popup Anything on Click、WP Testimonial with Widget など

直接パッチする方法

wpos-analytics/ディレクトリを削除
メインのプラグインファイルで「Plugin Wpos Analytics Data Starts」またはwpos_analytics_anlブロックを削除
Version:ヘッダーに-patchedを追加して再圧縮
wp plugin install your-plugin-patched.zip --forceでインストール
wp-config.phpファイルサイズが約6KB増えているなら、アクティブな感染状態とみなし、全面的な復旧が必要

WordPressプラグイン生態系の信頼問題

直近2週間でサプライチェーン攻撃が連続発生
- 信頼されていたプラグインを買収後、悪性コードを挿入
- WordPress.orgのコミット権限をそのまま引き継ぎ、検証なしで配布
WordPress.orgには所有権変更の監視やコード再審査手続きがない
- 新しいコミッター登録時のユーザー通知や自動レビュー機能が不在
プラグインチームの対応は迅速だったが、バックドア挿入後8か月間検出されなかった
WordPressサイト運営者はプラグイン一覧を点検し、Essential Plugin系プラグインを直ちに削除またはパッチ適用し、wp-config.phpファイルも必ず確認する必要がある

8件のコメント

tebica 16 일 전

何十年も使っているWordPress..
必要最小限のプラグインだけ使っていますが、それでもやはりいつも不安です。
それでも静的サイトよりはまだ便利なので、移行したいとは思いません！

turastory 17 일 전

最近はサプライチェーン攻撃関連のニュースが多いですね…

tangokorea 16 일 전

そういうことです。急増しました

xguru 17 일 전

WordPress は本当に……問題が絶えませんね。すでに使っているなら、関連スレの EmDash のようなものを参考にしてください。
私はもう見限って、単なる静的ページに移しました。

colus001 16 일 전

EmDash はインストールしてみましたが、とにかく遅いです。TTFB が基本で 3 秒は出るので、これを本当に使えというつもりで作ったのかと思ってしまいます。

xguru 16 일 전

へえ、なるほど。じゃあ自分はそのまま静的サイトで満足することにします（笑）