信頼されていたWordPressプラグインのアップデートが、攻撃者によってマルウェアに感染したRank Math PROのコピーが配布されたことで、Webサイト侵害の潜在的な経路になりました。
Rank Mathによると、有料プラグインのバージョン3.0.123には、10月15日から10月16日にかけてダウンロードまたはアップデートされた一部のコピーに悪意のあるコードが含まれており、有効化するとWebサイトが侵害される可能性がありました。
同社は影響を受けたファイルを削除し、バージョン3.0.124をリリースしたと説明していますが、アップデートするだけでは感染による残存物を除去できない可能性があります。
サードパーティ製ソフトウェアに依存する組織にとって、このインシデントはサプライチェーンリスクを浮き彫りにしています。管理者がプラグインを公式の配布元から入手した場合でも、ベンダーの配布プロセスが侵害されていれば、依然として被害を受ける可能性があります。
何が起きたのか
Rank Mathは、Webサイト所有者が検索結果での露出度を高めるのに役立つ、人気の高いWordPress向け検索エンジン最適化（SEO）プラグインです。
BleepingComputerがWordPress statsを引用して伝えたところによると、無料版プラグインのアクティブインストール数は400万件を超えています。一方、Rank Math PROは有料機能を提供します。ただし、今回のセキュリティインシデントの影響を受けたのはPRO版です。Rank Mathは、影響を受けたPROユーザーの人数を公表していません。
Rank Mathはセキュリティ通知で、Rank Math PROバージョン3.0.123の一部のコピーにマルウェアが含まれていたことを明らかにしました。影響を受けたコピーがダウンロードされたのは、10月15日20時02分（UTC）から10月16日07時12分（UTC）までで、11時間10分にわたります。Rank Mathは、影響を受けたファイルを削除し、クリーンなバージョン3.0.124をリリースしたと説明しています。
影響を受けたプラグインを有効化すると、マルウェアによってWebサイトが侵害される可能性がありました。さらに懸念されるのは、感染したWebサイトに誰かがアクセスするたびに、マルウェアが隠れたバックドアを再作成できたことです。つまり、復元の仕組みを先に停止せず、個々の悪意のあるファイルを削除するだけでは、侵害を解消できない可能性があります。
Rank Mathは、影響を受けたコピーを有効化したWebサイト所有者に対し、Webサーバーからアクセス可能な機密情報が漏えいした可能性を前提にすべきだと警告しました。
漏えいした可能性がある情報には、wp-config.phpに保存されたパスワード、データベース認証情報、セキュリティキーとソルト、ゲートウェイキー、SMTP認証情報などがあります。そのほか、APIキー、ホスティング管理パネルの認証情報、FTP、SFTP、SSHのアクセス認証情報、環境変数に保存された秘密情報も含まれます。
Webサイトを運営する組織にとって、このインシデントが意味すること
顧客の獲得や情報発信、事業運営をWebサイトに依存する組織にとって、当面の懸念はWebサイトの完全性です。侵害されたプラグインは、より広範なシステムへのアクセスにつながる経路にもなり得ます。
Webサイトの機能や攻撃者がアクセスした範囲によっては、業務が妨害されたり、機密情報が漏えいしたり、顧客の信頼が損なわれたりする可能性があります。これらは報告されたマルウェアによって起こり得る影響であり、影響を受けたすべてのWebサイトで発生したことを確認するものではありません。
リスクはWebサイト自体にとどまりません。攻撃者がサーバーに保存された認証情報やAPIキーを入手した場合、それらに付与された権限によっては、秘密情報を使って接続されたサービスにアクセスする可能性があります。企業にとっては、侵害されたWebサイトだけでなく、そこからアクセス可能な外部アカウントやシステムも評価することが重要です。
このインシデントは、難しいサプライチェーンリスクも浮き彫りにしています。公式のベンダーチャネルを通じて配布されたソフトウェアでさえ、侵害の原因になる可能性があります。
管理者は通常、問題を修正し、Webサイトの安全性を維持するためにアップデートをインストールします。しかし、ソフトウェアの配布チャネルが侵害されると、アップデートによって逆に悪意のあるコードが持ち込まれる可能性があります。そのコードが実行された後では、クリーンなバージョンをインストールしても、コードが加えたほかの変更までは削除できない場合があります。
教訓は、公式ベンダーからのプラグインのアップデートを止めることではありません。重要なのは、迅速なアップデートに加え、信頼できるバックアップ、不正な変更の監視、認証情報の厳格な管理、そして元のソフトウェア以外に及ぶ侵害も考慮した復旧プロセスを組み合わせることです。
今すぐできること
Rank Math PROを使用している組織はまず、影響を受けた期間中にバージョン3.0.123をダウンロードまたはアップデートしたかどうかを確認してください。
そのうえで影響を受けたプラグインを有効化した場合、Rank MathはWebサイトが侵害された可能性を前提にすべきだと助言しています。同社は、インシデントの期間が始まる前に作成されたクリーンなバックアップから、Webサイトのファイルとデータベースを復元することを推奨しています。そのようなバックアップがない場合は、同社の手動クリーンアップ手順に従ってください。プラグインをアップデートするだけでは不十分です。
この期間外にプラグインをインストールした人や、インストールしたものの有効化しなかった人については、侵害されたとする事実は確認されていません。ただしRank Mathは、既存のPROプラグインを削除し、クリーンなバージョン3.0.124をインストールするよう引き続き利用者に勧めています。
プラグインをいつダウンロードまたは有効化したか分からない管理者は、インストール履歴を確認し、不審な変更を調査してください。また、support@rankmath.comに連絡して支援を求めることもできます。
その他のニュース：Microsoftは、10月のWindows ServerセキュリティアップデートによってオンプレミスのExchange Server環境で障害が発生し得ることを確認しました。これにより、メール配信の遅延、Webメールへのサインイン失敗、メールボックスの利用不能といった問題が起きています。