WordPress有料プラグインがサプライチェーン攻撃でバックドア化｜「更新すれば安全」が崩れる時代の対策とは

「有料プラグインだから安心」——そう思っていた人ほど、危ないかもしれません。WordPressの有料プラグインを多数手がけるShapedPlugin社の製品群が、アップデート配信そのものを乗っ取られる形でバックドア化されていたことが分かりました。攻撃者は同社のPro版アップデートに悪意あるコードを仕込み、管理画面を開くたびに外部サーバーから追加のペイロードを取得・実行する仕組みを埋め込んでいたとされます。ログイン情報や2段階認証コードまで狙われる、かなり悪質な手口です。無料プラグインの脆弱性ならよく聞く話ですが、今回は「開発元の配信ルート自体が汚染された」というサプライチェーン攻撃。プラグインを作る側・配る側にとっても、他人事ではない事件です。

何が起きたのか

今回の被害に遭ったのは、ShapedPlugin社が提供するWordPressのPro版プラグイン群です。中でもWooCommerce向けの「Product Slider Pro」には、CVSS10.0（最高値）の脆弱性が割り当てられました。攻撃者は正規のアップデート配信の仕組みを悪用し、Pro版の更新パッケージに不正なローダー（読み込みプログラム）を混入させました。このローダーは管理画面が開かれるたびに作動し、外部の指定サーバーから追加の悪意あるペイロードを取得・インストールし、偽のプラグインとして有効化する仕組みになっていたとされます。

この偽プラグインの厄介なところは、管理画面のプラグイン一覧にわざと表示されないよう自身を隠している点です。感染したサイトのドメイン情報を外部サーバーに報告した後、痕跡を消すために自分自身を削除する挙動も確認されています。さらに、ログイン情報や2段階認証コードを平文で盗み取り、メール送信プラグインの設定（SMTP認証情報）まで書き換えるといった機能を持っていたと報告されています。

なぜ「サプライチェーン攻撃」は特に厄介なのか

普段よく聞くWordPressの脆弱性は、「プラグインのコードに元々バグがあって、それを攻撃者が見つけて突く」というパターンです。この場合、サイト運営者は「更新すれば直る」という単純な防御ができます。しかし今回のような供給網（サプライチェーン）攻撃は違います。攻撃されたのは開発元の配信ルートそのもの。つまり、サイト運営者が”正しく最新版に更新した”結果として、攻撃者のコードを自らインストールしてしまうことになります。「アップデートは正義」という、これまでの防御の大前提そのものが崩れるタイプの攻撃です。

プラグインを「作る側・配る側」にとっての教訓

今回の事件は、サイト運営者だけでなく、プラグインを開発・配布する側にとっても重い教訓です。自分の配信の仕組みが乗っ取られれば、利用者全員を一瞬で危険にさらすことになります。特にWordPress.orgの公式ディレクトリを経由せず、独自に配布・自動更新の仕組みを持っている有料プラグイン・テーマは、その配信基盤そのものが攻撃対象になり得ることを意識しておく必要があります。

まとめ

WordPressサイトのセキュリティ強化・プラグイン運用の見直しのご相談はお気軽にどうぞ。