該当があれば“様子見”はやめろ。即再構築が正解だ。
「無料だから安全」
そう思っていた時代は、もう終わったのかもしれない。
WordPressの人気プラグイン31本にバックドアが仕込まれていた。
原因は“脆弱性”ではない。
所有者が変わっただけだ。
何が起きたのか
- 約30以上のWordPressプラグインにバックドア混入
- 原因は開発元の売却（Flippa経由）
- 新オーナーが最初のアップデートで仕込み
- 約8ヶ月潜伏
- 2026年4月に一斉発火
結果：
wp-config.php改ざん- SEOスパム注入
- 外部からコード実行
そして
WordPress公式が31プラグインを強制停止
本質：これは「脆弱性」ではない
ここ、重要。
今回の事件は
- バグではない
- ゼロデイでもない
- ハッキングでもない
正規アップデート
つまり
「正常な仕組み」で攻撃が成立している
どうやって仕込まれたか
流れはシンプルすぎる
- プラグインを買収
- 開発権限を取得
- アップデート配信
- バックドア混入
そしてユーザーは
何も疑わず「更新」ボタンを押す
技術的に何が起きたか
- 外部サーバーからコード取得
- 任意コード実行（RCE）
wp-config.phpにスパム注入- 数ヶ月間“完全に沈黙”
2026年4月に一斉起動
さらに悪質なのは
Googleにだけスパムを見せる（クローキング）
なぜこんなことが可能なのか
WordPressの構造そのもの
- プラグインは売買可能
- 所有者変更の通知なし
- 新オーナーの審査なし
- アップデートは無条件で信頼
「信用の引き継ぎ」が完全にノーチェック
これ、他人事じゃない
今回のプラグイン群は
- UI系
- スライダー
- ポップアップ
- ウィジェット
“よくある便利系”
つまり
誰でも入れてる可能性がある層
つまり、
「合法的に配布されたマルウェア」
影響を受けた主なプラグイン
以下は、今回の件で停止されたプラグインの一部。
現在は公式ディレクトリから削除・停止されている。
・Countdown Timer Ultimate
・Popup Anything on Click
・WP Slick Slider and Image Carousel
・WP Blog and Widgets
・Post Grid and Filter Ultimate
・Hero Banner Ultimate
※いずれもWordPress公式ディレクトリから削除・停止済み（2026年4月時点）
今すぐやること
✔ ① プラグインを全チェック
- 「Essential Plugin / WP Online Support」系がないか確認
- 見覚えなくても全部洗う
✔ ② 見つかったら即削除
迷うな、消せ
✔ ③ wp-config.php を確認
- 見慣れないコードが増えてないか
- サイズが妙に大きくなってないか
✔ ④ 少しでも怪しいなら
WordPress再インストール
理由はシンプル
「何仕込まれてるか分からん」
なぜ“再インストール”なのか
今回のやつは
- ファイル改ざん
- 外部通信
- 永続化あり
完全クリーン保証ができない
だから
“掃除”じゃなく“建て直し”
WordPressプラグインのバックドア／乗っ取り対策
今回の件は「WordPress プラグイン バックドア」「プラグイン 乗っ取り」といった検索で辿り着く読者にとって、非常に重要な実例だ。
単なる脆弱性ではなく、正規アップデート経由で侵入されるという構造は、従来の対策では防げない。最低限、以下のポイントは確認しておきたい。
・プラグインの最終更新日と開発者の変化
・急な機能追加や外部通信の有無
・更新直後のサイト挙動（速度低下・不審なリダイレクト）
そして今回のようにコアファイル改ざんが疑われる場合は、個別対応ではなく再構築が最も確実な対処となる。
「更新＝正義」はすでに崩れている
以前、「更新＝正義の時代は終わった」と書いた。
当時は、サプライチェーンや自動更新の構造的リスクとして捉えていたが、
今回の件はそれを“現実のインシデント”として証明した。
更新はもはや防御ではない。
条件次第では、侵入口になる。
これはWordPressに限った話ではない。
npm、CI/CD、OSアップデート──すべて同じ構造を持っている。
問題は技術ではなく、前提だ。
「更新＝安全」という思考停止が、最大の脆弱性になる。
補足：これはWordPressだけの問題ではない
今回の事件はWordPressプラグインで発生したが、
同じ構造はすでに他の領域でも確認されている。
・npmパッケージの乗っ取り
・Chrome拡張の買収
・Dockerイメージの差し替え
いずれも共通するのは、
「信用された配布経路が、そのまま攻撃経路になる」
という点だ。
この問題は特定の製品ではなく、
現代のソフトウェア供給モデルそのものに内在している。
まとめ
- プラグインは「コード」ではない
- プラグインは「信用」で動いている
そして
信用は、売買できる
最後に一言
脆弱性は直せる。
でも――
裏切りは防げない。
