Admin Menu Editor Proの開発者であるJanis Elsts氏によると、攻撃者はadminmenueditor.comへの不正アクセスを利用し、WordPress用Admin Menu Editor Proプラグインの悪意ある2つのバージョンを配布しました。バージョン2.35には、ウェブシェルと隠しユーザーアカウントを作成するPHPコードが仕込まれていました。一方、クリーンなバージョン2.36も、開発者がサイトの制御を取り戻す前に侵害されました。
バージョン2.35は、2026年9月15日06:00頃から13:00（いずれも協定世界時）まで利用可能でしたが、その後取り下げられました。侵害を発見した後、Elsts氏は同日19:00（協定世界時）にバージョン2.36を公開しました。しかし、攻撃者は依然としてサイトにアクセスでき、新しいバージョンにも改変を加えることに成功しました。
影響規模は依然として不明
開発者によると、更新サーバーのログ分析から、最初の攻撃では約230人の顧客が影響を受けたことが示されています。悪意あるバージョンは少なくとも1,500サイトにインストールされました。一部の顧客が複数のサイトを管理しているためです。また、同じ時間帯またはその前後に数百人の顧客がプラグインをダウンロードしており、特に公開後に侵害されたバージョン2.36については、最終的な件数がさらに多くなる可能性があります。
Admin Menu Editor Proを使うと、WordPress管理者はダッシュボードのメニューをカスタマイズし、一部のユーザーからプラグインを非表示にし、役割ごとに権限を設定し、ログイン時およびログアウト時のリダイレクトを作成できます。一方、30万以上のサイトに存在する無料版のAdmin Menu Editorは、入手可能な情報によれば影響を受けていないようです。
何を確認すべきか
バージョン2.35または2.36をインストールしたすべてのユーザーは、次の侵害の指標を確認する必要があります。
- admin-menu-editor-proフォルダー内にincludes/wp-user-consent.phpファイルが存在する。
- 新しい/wp-content/object-cache/フォルダーが存在する。
- wp_usersテーブルに、名前がwp_で始まるユーザーが存在する。このユーザーはWordPressの管理画面に表示されない場合があります。
- wp_optionsテーブルに、wp_ocache*形式の名前を持つオプションが存在する。
サイト管理者にとって実際に何が変わるのか
開発者は悪意ある更新を削除し、事件と確認手順を説明する静的ページを公開しました。しかし、調査の結果、攻撃者がサーバー上でルートレベルの権限を持っていた可能性があると判断したため、サイトを停止しました。この点が重要なのは、配布経路そのものが侵害されていた場合、プラグインを新しいバージョンに更新するだけでは必ずしも十分でないためです。
バージョン2.34は安全だと考えられています。開発者は、最も信頼性の高い対策として、9月14日より前に作成された信頼できるバックアップからサイトを復元することを推奨しています。復元できない場合の推奨事項には、プラグイン、/wp-content/object-cache/フォルダー、そして前述のアカウントとオプションに関連するデータベースのエントリを削除することが含まれます。ただし、サイトに追加の改変が加えられていたケースでは、これらの手順だけで侵害の痕跡をすべて除去できるとは情報源は断定していません。そのため、サイトの完全性とバックアップの確認は、影響を受けたユーザーにとって依然として未解決の課題です。