2026年の CMS 大規模悪用キャンペーン：WordPress プラグイン、Craft、Joomla JCE

ACSC の発表内容

警告によると、攻撃者は世界中のサイト（多くは中小企業）で、認証なしのファイルアップロード、リモートコード実行、SSRF、デシリアライズを可能にする脆弱性を探し、Webshell を設置して改ざん、認証情報の窃取、マルウェア配布、内部ネットワークへの足がかりに利用しています。

自分のサイトは影響を受けるか

• インストール済みプラグインとバージョンを一覧にし（WP-CLI なら wp plugin list）、表と各ベンダーの修正版を照合します。
• アップロード用ディレクトリの PHP ファイルや、デプロイした覚えのない最近変更された PHP ファイルを探します。
• 新しい管理者アカウント、スケジュールタスク、Web サーバーからの不審な外向き通信を確認します。

# Recently changed PHP files in a web root (adjust the path and days)
find /var/www -name '*.php' -mtime -30 -print
# PHP files where none should exist
find /var/www -path '*/uploads/*' -name '*.php' -print

対処方法

• 一覧のコンポーネントをすべて更新または削除し、使っていないプラグインは削除します。
• Webshell が見つかったら侵害されたものとして扱い、調査用にコピーを保存し、正常なバックアップから復元または再構築し、データベース・管理画面・FTP/SSH・API の認証情報を変更します。
• PHP ランタイムも最新に保ってください。PHP2Shell の対策を参照。

よくある質問