WordPress プラグインの脆弱性 CVE-2026-18072 が FIX：20,000 サイトで管理者乗っ取りの可能性

Critical WordPress Plugin Backdoor Exposes 20,000 Sites to Full Administrator Takeover

2026/07/29 gbhackers — 広く使用されている WordPress プラグインに発生した深刻なサプライチェーン侵害により、約 20,000 の Web サイトが、管理者権限の乗っ取りの可能性にさらされている。このプラグイン内に埋め込まれた、バックドア型の認証バイパスの悪用においては、認証情報もユーザー操作も必要とされない。

重大な WordPress プラグイン

セキュリティ企業 Wordfence が明らかにしたのは、2026年7月28日に Advanced Responsive Video Embedder プラグインのバージョン 10.8.7 が導入された約 2 時間後に、同社の自律型 AI 脅威インテリジェンスシステムである PRISM が悪意のコードを検出したことだ。

この脆弱性 CVE-2026-18072 (CVSS 9.8) を悪用する未認証の攻撃者は、プラグインのソースコード内に埋め込まれたハードコード済みトークンを取り込んだ、単一の HTTP リクエストを送信することで、完全な管理者アクセスを取得できる。

開発者の見落としに起因する脆弱性とは異なり、このインシデントは高度なサプライチェーン攻撃を引き起こすものだ。Wordfence の分析が示唆するのは、開発者アカウントへの不正アクセス後に、プラグインのコードベースに対して、このバックドアが意図的に挿入されたことだ。

この悪意のロジックは、fn-update-check.php という無害に見えるファイルを通じて有効化される。このファイルは、通常のプラグイン機能を模倣することで、精査を回避するよう設計されている。

この攻撃の中核にあるのは、_arve_uc_init() 関数である。この関数は、priority 1 の init フックを通じて、WordPress の初期化プロセスの早い段階で、認証チェック前に実行される。この関数により、_wplogin や _wpm などのリクエスト・パラメータから、攻撃者が制御する入力が読み取られる。

その入力は、プラグイン内に存在するハードコード済み SHA-256 ハッシュと照合される。この静的ハッシュは、ソースコードを調べれば誰でも確認できるものであり、普遍的なマスターキーとして機能する。

供給されたトークンが、埋め込みハッシュと一致すると、このバックドアによりすべての認証制御がバイパスされる。これにより、攻撃者はランダムに選択された管理者アカウントとしてログインできる。

このコードは、特定の接頭辞を持つアカウントを意図的に避けている。それが示唆するのは、攻撃者が事前に侵害したシステム上に、特権アカウントが仕込まれていた可能性である。

悪用に成功した攻撃者は、サイト URL や管理者ユーザー名などを含む機密性の高い情報を、外部 command-and-control サーバ fontswp.com へと送信する。その後に攻撃者は、永続的なセッション・クッキーを保持した状態で、WordPress 管理ダッシュボードへとリダイレクトされる。

このエクスプロイト・チェーンにおいて、必要とされるのは単一のステートレス HTTP リクエストだけである。それにより、総当たり試行／列挙／事前アクセスが不要という、効率的な攻撃が可能になる。

この攻撃に関連する悪意を示す指標には、難読化された変数名／PHP errors の抑制／外部通信のための複数の fallback mechanisms が含まれる。これらは、専門的に設計されたバックドアの特徴である。

責任ある開示を受けて、WordPress.org プラグイン・リポジトリ・チームは迅速に対応し、このプラグインを配布対象から削除した。それと同時に Wordfence は、7月28日の時点で、プレミアム・ユーザー向けのファイアウォール保護を展開した。無料ティア・ユーザー向けの保護は、8月27日に予定されている。

悪意のバージョンは、広範には配布されなかったと報告されているが、セキュリティ専門家が警告するのは、影響を受けるプラグイン・バージョンを実行している、すべてのサイトを潜在的に侵害済みとして扱うべきという点だ。

管理者に求められるのは、このプラグインを直ちに削除することである。その上で、すべてのユーザー・アカウントの監査／認証キーのローテーション／セッションの無効化を実施し、二次的な永続化メカニズムや不正な変更を検出するための、完全なフォレンジック・レビューを実施する必要がある。

このインシデントが浮き彫りにするのは、WordPress エコシステムにおけるソフトウェア・サプライチェーン攻撃のリスクが高まっている現状である。信頼されたプラグインであっても、数時間のうちに大規模侵害の媒介になり得る。

訳者後書：Advanced Responsive Video Embedder において、開発元のアカウントが侵害され、バックドアが混入されたことで、脆弱性 CVE-2026-18072 が発生しています。この脆弱性が攻撃者に悪用されると、特別なログイン情報を必要とせずに管理者権限を奪われ、Web サイトの情報の流出や内部への不正操作などが生じる恐れがあります。システムを安全に利用するためにも、該当のプラグインを速やかに削除する必要があります。あわせて、アカウント一覧の確認／パスワード変更／不要なセッションの破棄などの対応も推奨されています。