【IT】【セキュリティ】WordPressプラグインのバックドア事案が怖すぎたので、あわてて自分のサイトを確認した話
皆さま
こんにちは
WordPressプラグインのニュースで、
かなり嫌なタイプの事案が出てきました。
売却された複数のプラグインにバックドアが仕込まれ、
あとから有効化された というものです。
単なる脆弱性の話ではなく、
正規アップデート経由のサプライチェーン汚染 と見られている点が厄介です。
報告では、旧 WP Online Support / Essential Plugin 系のプラグイン群に悪性コードが入れられ、のちに起動したと整理されています。
私は自分のWordPressサイトも、念のため確認しました。
結論から言うと、私の環境では、
今回報じられている事案に直接当てはまる痕跡は見当たりませんでした。
この記事では、事案の要点とあわせて、
Wordpress管理画面とレンタルサーバーのファイルマネージャーだけで確認した内容 をまとめます。
参照元サイト（オースティン・ギンダー氏がブログ）
まず、何が起きたのか
今回の件は、複数のWordPressプラグインが買収されたあと、バックドアが埋め込まれ、その後しばらく経ってから有効化されたという報告です。
報告では、2025年8月ごろに悪性コードが混入し、2026年4月5日ごろから有効化された とされています。
また、WordPress.org 側で対象プラグインがクローズされ、強制更新対応が行われたとも説明されています。
今回の件で特に嫌なのは、
プラグインを消すだけでは終わらない可能性がある ことです。
報告上の主な確認ポイントとしては、
`wp-comments-posts.php` という不正ファイル
`wp-config.php` への不正コード追記
が挙げられています。
つまり、
プラグイン本体だけでなく、
WordPress本体側のファイルまで見ないといけない
ということです。
そもそも、そんなに使われていたプラグインなのか
「そんな怪しいプラグイン、自分は入れないだろう」と思いたくなります。
ただ、完全に無名というわけでもありません。
今回名前が挙がったプラグインの中には、ポップアップ、スライダー、FAQ、一覧表示系など、
中小サイトや個人サイトで“便利系の無料プラグイン”として使われてもおかしくないもの が含まれていました。
つまり今回の件は、
誰も使っていない怪しいものが閉じた
という話ではなく、
普通に使われていた実用系プラグインが汚染された
という点が怖いのだと思います。
WordPressの管理画面での確認
①対象プラグインが入っていないか
まず WordPress 管理画面の
「インストール済みプラグイン」 を確認しました。
今回の事案で名前が挙がっている Essential Plugin 系の表示名やフォルダ名は見当たりませんでした。
報告記事では、影響を受けたプラグイン群が一覧化されています。
② `uploads` 配下と管理者ユーザーの確認
WordPress 管理画面の 「ユーザー」 を開き、
見覚えのない管理者が増えていないか確認します。
ファイルマネージャーでの確認
今回は、SSHを許可設定しておりませんので
レンタルサーバーのファイルマネージャーから確認となります。
手順①：WordPress直下を開く
まず、次のファイルやフォルダが見える場所を開きます。
`wp-admin`
`wp-content`
`wp-includes`
`wp-config.php`
ここが WordPress の本体がある場所です。
手順②：`wp-comments-posts.php` がないか見る
`wp-comments-post.php` は正常です。
ただし、
`wp-comments-posts.php` があれば要注意 です。
今回の件の代表的な確認ポイントです。
手順③：`wp-config.php` の一番下を見る
ファイルを開いて、一番下を確認します。
末尾が
require_once ABSPATH . 'wp-settings.php';で終わっていれば、ひとまず自然です。
この後ろに、
意味不明な長い英数字列
`base64_decode`
`eval(`
外部通信っぽい処理
などが続いていたら要注意です。
今回の報告では、`wp-config.php` への追記が重要な痕跡とされています。
手順④：`wp-content/plugins` を見る
今回名前が挙がっているプラグインのフォルダが残っていないか確認します。
今は無効化済みでも、残骸の有無を見る参考になります。
影響を受けたプラグイン群は、調査記事側で具体名が列挙されています。
私の確認結果
私の環境では、次の状態でした。
対象プラグインは見当たらない
`wp-comments-posts.php` は見当たらない
`wp-config.php` 末尾に不審な追記なし
`uploads` 配下も自然
見覚えのない管理者ユーザーなし
このため、
今回報じられているバックドア事案には、
少なくとも今確認できる範囲では当てはまらない と判断しました。
もちろん、絶対安全と断言するつもりはありません。
ただ、今回の代表的な痕跡は見えていません。
今回の件で改めて思ったこと
やはり怖いのは、
プラグインに単純なバグや脆弱性があった、という話ではないことです。
「正規の更新経路を信用していたのに、その先が汚染されていた」
という構図が厄介です。
WordPress.org には、プラグインの所有者を移す正式な手順があります。
それ自体は必要な制度ですし、普通の引き継ぎも当然あります。
ですが利用者側からすると、
更新されているから安心
公式配布だから大丈夫
とだけは言えない、という現実も見えてきます。
今後やるべきこと
基本にかえり、以下を確認するといいかと思います。
プラグインは必要最小限にする
開発元や更新状況が見えるものを選ぶ
不要プラグインは消す
たまにファイルとユーザーを確認する
重要サイトは更新前にバックアップを取る
今回の件も、対象プラグインの存在だけでなく、更新後に残る痕跡確認まで必要だった という意味で、日頃の棚卸しの大切さを感じました。
まとめ
今回のWordPressプラグインのバックドア事案は、
かなり嫌なタイプのサプライチェーン問題でした。
ただ、確認ポイント自体はある程度絞れます。
まずは、
対象プラグインの有無
`wp-comments-posts.php` の有無
`wp-config.php` 末尾の確認
管理者ユーザーの確認
この4つだけでも見る価値があります。
SSH が許可されなくとも、Wordpressの管理画面とレンタルサーバーのファイルマネージャーで確認できる範囲は意外とあります。
では
また