WordPressで広く使われているSEOプラグイン「Rank Math」の有料版「Rank Math PRO」が、配布経路を乗っ取られ、マルウェア入りの版が配られていたことがわかりました。開発元は10月16日に出したセキュリティ告知で、10月15日20:02(UTC)から10月16日07:12(UTC)までの間に、公式サイト rankmath.com からダウンロードした、または自動更新で受け取ったコピーにマルウェアが含まれていたと説明しています。日本時間では、15日の午前5時ごろから16日の午後4時ごろにあたります。
今回のように、正規の配布元そのものが汚染される攻撃は「サプライチェーン攻撃」と呼ばれます。利用者は公式サイトから入手しており、通常の注意だけでは見抜くのが難しいのが厄介な点です。報道によると、混入したのは「自己復元型のバックドア」で、削除してもプログラムが自分自身を元に戻す仕組みを持つとされています。バックドアとは、攻撃者が正規の入口を通らずに、あとからサイトへ出入りできるようにする裏口のことです。
WordPressサイトにこうした裏口を仕込まれると、サイトの改ざんや不正な広告・リンクの埋め込み、訪問者を別のサイトへ誘導する、といった被害につながるおそれがあります。なお、今回影響を受けるのは有料版のRank Math PROで、無料版は対象として説明されていません。
該当時間帯にRank Math PROを入手・更新したサイトの管理者は、開発元の告知を確認してください。そのうえで、(1) 公式の手順に従って安全な版に入れ替える、(2) 管理者パスワードやアプリケーションパスワード、APIキーなどを変更する、(3) 見覚えのない管理者ユーザーやファイルがないか調べる、といった対応が必要になる可能性があります。プラグイン自体を消すだけでは不十分な場合があるため、手順は開発元の案内を優先してください。
日頃の備えとしては、サイトのバックアップを定期的に取っておくこと、プラグインの自動更新を使う場合でも更新後に不審な変化がないか確認すること、不要なプラグインは入れないことが有効です。セキュリティホールだけでなく、信頼している配布元が狙われるケースもあることを意識しておきたいところです。