世界中で広く利用されているウェブサイト作成ソフト「ワードプレス（WordPress）」の多数の拡張機能（プラグイン）に、不正なプログラム（バックドア）が仕掛けられていたことが明らかになりました。これらのプラグインを導入している数万のウェブサイトに悪意のあるコードが配信されるおそれがあり、現在プラグインの公開は停止されているということです。
アメリカのホスティング会社「アンカー・ホスティング」の創業者であるオースティン・ギンダー氏が、自身のブログで警告しました。ギンダー氏によりますと、プラグインの開発を手がける「エッセンシャル・プラグイン」社を標的としたサプライチェーン攻撃が確認されたということです。
昨年、何者かが同社を買収した直後に、プラグインのソースコードにバックドアが追加されたとされています。このバックドアは数か月にわたり休眠状態にありましたが、今月に入って起動し、対象のプラグインをインストールしているウェブサイトに対して悪意のあるコードの配信を始めたとしています。
エッセンシャル・プラグイン社のウェブサイトによりますと、同社のプラグインは累計で40万回以上インストールされており、1万5000以上の顧客を抱えているとしています。また、ワードプレスの公式ページでは、今回影響を受けたプラグインが現在も2万以上のウェブサイトで稼働しているとされています。
プラグインはウェブサイトの機能を拡張する便利なツールですが、同時にシステムへのアクセス権限を与えるため、不正なプログラムが組み込まれた場合、サイト全体が危険にさらされるおそれがあります。ギンダー氏は、プラグインの開発元や所有者が変更されても利用者に通知される仕組みがない点を指摘し、新たな所有者による乗っ取り攻撃のリスクに警鐘を鳴らしています。
ワードプレスのプラグインが乗っ取られる事例は、ここ数週間で2件目だということです。サイバーセキュリティの専門家は以前から、悪意のある攻撃者が正規のソフトウェアを買収してコードを改ざんし、世界中のコンピューターを標的にする危険性を指摘していました。
現在、問題となったプラグインはワードプレスの公式ディレクトリから削除され、「永久閉鎖」の扱いとなっています。ギンダー氏は、ウェブサイトの管理者に対し、該当するプラグインがインストールされていないか確認し、直ちに削除するよう呼びかけています。なお、エッセンシャル・プラグイン社はこれまでのところ、コメントの求めに応じていないということです。