ワードプレスでPHPコードを実行できるプラグインの不正インストール

ワードプレスでPHPコードを実行できるプラグインを不正にインストールし、データベースにマルウェアを埋め込むタイプの新しいマルウェアが報告されています。

ワードプレスの管理画面からPHPコードを任意の固定ページや投稿で実行できるプラグインの不正インストール

Sucuri　によりますと、ワードプレスの管理者権限の総当たり攻撃による奪取、もしくは脆弱性によって侵入したハッカーが、ワードプレスの管理画面からPHPコードを実行できるプラグインを勝手にインストールし、不正なコードをデータベースに埋め込む事例が増えているとのことです。

ワードプレスの管理画面からPHPコードを実行できるプラグインは複数存在しています。
これらのプラグインは、ワードプレスの任意のページにPHPコードを埋め込んで実行するためのもので、それ自体に何らかの悪意あるプログラムが含まれているわけでもなく、公式サイトからも問題なく配信されているものです。

しかし、これらのプラグインはワードプレスのデータベースにPHPコードを保存し実行するものですので、ハッカーがサイトに既に侵入成功している場合は、悪意あるプログラムをデータベースに埋め込んで実行することが可能となってしまいます。

ワードプレスのデータベースはこれまであまりマルウェア感染が報告されていない部分ですので、マルウェア検査しないプラグイン等も多いため、そのすきを狙った攻撃方法かと存じます。

このタイプのマルウェアの対処方法をいくつかご紹介いたします。

１　身に覚えのないEVAL PHP系のプラグインがインストールされていないか確認いただき、ある場合は停止削除します。

２　データベースのマルウェアも検査できるタイプのプラグインでマルウェア検査・駆除します。

３　もしこのタイプのマルウェアに感染していたことが明らかな場合は、脆弱性を利用されたり、管理者権限を奪取され、すでにハッカーの侵入を許しているという事になります。

この為、上記プラグイン等によるマルウェア検査・駆除に加え、下記のような対策が必要となります。

１　不正なユーザーの確認と削除
２　管理者権限のユーザーのパスワードの変更
３　プラグインやワードプレスのアップデート