WordPressの「Advanced Responsive Video Embedder (ARVE)」プラグインのバージョン10.8.7に、極めて深刻なバックドア（CVE-2026-18072）が発見されました。この脆弱性は、認証されていない攻撃者が単一のハードコードされたトークンを使用するだけで、WordPressサイトの完全な管理者アクセス権を取得できるというものです。CVSSスコアは9.8（CRITICAL）と評価されており、約20,000のアクティブインストールが影響を受ける可能性があり、直ちに対応が必要です。
今すぐ行う対策
- ✓Advanced Responsive Video Embeder (ARVE)プラグインがインストールされている場合、直ちに無効化し、WordPress管理画面から削除する
- ✓WordPressサイトに不審な管理者アカウントやファイルの変更がないか、特に最近の変更ログを確認する
- ✓ウェブサーバー、WAF、およびWordPressのアクセスログを監視し、異常なアクセスやログイン試行がないか確認する
脆弱性の概要と影響範囲
WordPressの動画埋め込みプラグイン「Advanced Responsive Video Embedder (ARVE)」のバージョン10.8.7には、意図的に仕込まれた認証バイパスのバックドアが存在します。この悪意あるコードは、プラグインのファイル <code>php/fn-update-check.php</code> 内に隠蔽され、特定のHTTPリクエストパラメータを介して、公開された固定のSHA256文字列と一致する値を送信することで、認証なしで管理者ログインセッションを確立させます。
Wordfenceのレポートによると、このバックドアコードは2026年7月28日に導入され、WordfenceのPRISMシステムによって導入後2時間以内に特定されました。WordPress.orgは、自動更新機能による広範な配布が行われる前に、このバージョンをダウンロード停止措置としました。しかし、手動でバージョン10.8.7をインストールしたサイトや、攻撃者が開発者のアカウントに既にコミットアクセス権を取得していた場合に配布されたサイトは、この脅威に晒される可能性があります。このプラグインは約20,000のアクティブインストールがあるため、潜在的な影響は甚大です。
具体的な影響・攻撃シナリオ
このバックドアは、攻撃者に認証情報を必要とせず、ユーザーの操作も不要で、単一のHTTP GETリクエストで管理者セッションを奪取する機会を与えます。これにより、攻撃者はWebサイトのコンテンツ改ざん、機密データの窃取、さらなるマルウェアの埋め込み、Webサイト全体の乗っ取りなど、あらゆる悪意ある操作が可能になります。奪取された管理者セッションにより、攻撃者はWordPressの管理ダッシュボードに直接アクセスし、サイトの完全な制御権を掌握します。Wordfenceは、Wordfence Premiumユーザー向けに、2026年7月28日にこの脆弱性を悪用する既知の攻撃から保護するためのファイアウォールルールを展開済みです。
対応手順と確認方法
Advanced Responsive Video Embedder (ARVE)プラグインを使用している場合は、直ちにWordPress管理画面からプラグインを無効化し、削除してください。その後、以下の点を確認することが推奨されます。
- ✓WordPressの管理画面で「ユーザー」セクションを確認し、覚えのない管理者アカウントが作成されていないかチェックする。
- ✓FTPまたはSSHでサーバーに接続し、WordPressのルートディレクトリ以下で、最近変更された不審なファイルや、<code>wp-config.php</code>、テーマ、プラグインディレクトリ内の整合性を確認する。
- ✓ウェブサーバーのアクセスログ（例: Apacheのaccess_log, Nginxのaccess.log）を分析し、ARVEプラグインに関連するパス（例: <code>/wp-content/plugins/advanced-responsive-video-embedder/</code>）への不正なリクエストや、不審なパラメータを含むリクエストがないか調査する。