テック技報最新号へ →
セキュリティ

配布物に混入したプラグインのバックドアは「再生成の仕組み」から止める（Rank Math SEO PRO 3.0.123 事例）

正規の配布物にマルウェアが混ざっていた場合、プラグインを更新するだけでは侵害が残る。手で掃除するなら、アクセスのたびにバックドアを作り直す仕組みを先に止めてから、残りのファイルやアカウントを消す。

@MalwareBibleJP · 2026-10-21
#supply-chain#wordpress#incident-response#backdoor#plugin

事例

  • WordPress の SEO プラグイン有料版「Rank Math SEO PRO」の v3.0.123（2026-10-15 20:02〜10-16 07:12 UTC に取得したもの）にマルウェアが混入。差し替え版は v3.0.124。
  • 有効化したサイトでは、サイトへのアクセスをきっかけにバックドアが作り直されることがある。

判定

状態対応
該当版を有効化した侵害されたものとして扱う
インストールしたが有効化していないファイル削除、クリーン版の導入、念のためスキャン
ダウンロードしただけこれだけでは侵害の兆候なし

復旧の順番

第一候補は、侵害期間より前のバックアップからサイトと DB を戻すこと。 戻した後も認証情報の入れ替えは必要。手で掃除する場合は次の順番を守る。

  1. 再生成を止める（全部終えてから次へ）
    • プラグインのフォルダーごと削除する（無効化だけでは足りない）。
    • wp_options から開発元が示した不正なエントリーを消す。
    • 可能なら攻撃者のドメインへの外向き通信を止める。
  2. 他の仕掛けを探す
    • wp-content/mu-plugins/、他プラグインやテーマの inc/ includes/ lib/ に不審な PHP（base64_decode と XOR ループ、proc_open など）。
    • 見覚えのない管理者アカウント：wp user list --role=administrator
    • コアにないファイル（今回は wp-includes/class-wp-cache-util.php）を消し、wp core verify-checksums で確認。
    • .htaccess に .cache などを PHP として実行させるルールがないか。
    • wp cron event list と Web サーバーユーザーの crontab。
    • uploads/ に PHP がないか。
    • WordPress の外：SSH の authorized_keys、他ユーザーの crontab、動いているプロセス。
  3. 認証情報をすべて入れ替える：WordPress のパスワード、wp-config.php の DB 認証情報と鍵・ソルト、決済や SMTP の API キー、ホスティング・FTP・SSH の認証情報、管理者の 2 要素認証。
  4. 確かめる：スキャン、wp core verify-checksums、wp plugin verify-checksums --all（有料プラグインは公式のクリーンなコピーと比較）。数日間は外向き通信と、消したファイルが戻ってこないかを見る。

注意点

出典

X の元の投稿を開く