更新していても侵害される｜BdThemes製プラグイン7本のサプライチェーン侵害と、自己点検3項目

2026年8月11日、セキュリティ企業のWordfenceが、WordPressプラグインを開発するBdThemes社の製品7本で「サプライチェーン侵害」が起きていたと公表しました。Element Pack をはじめ、Elementor のアドオンとして広く使われているプラグインが対象です。

この事案が厄介なのは、プラグインを最新版に更新していても被害を受けるという点です。「更新さえしておけば安全」という、これまでの保守の前提がそのままでは通用しません。

WordPressサイトをお持ちの経営者・ご担当者に向けて、何が起きたのかを平易に整理したうえで、ご自身で確認できる自己点検の項目までまとめました。なお本記事は、2026年8月12日時点で公開されている情報にもとづいています。

3分でわかる、何が起きたのか

• 公表日：2026年8月11日（セキュリティ企業 Wordfence による公表）
• 対象：BdThemes社が開発する7つのプラグイン。うち Element Pack は10万サイト以上に導入されています
• 侵入経路：プラグイン本体ではなく、プラグインが外部から取得していた「管理画面のお知らせバナー表示用データ」
• 起きたこと：ログイン中の管理者が管理画面を開くたびに不正なスクリプトが動き、隠された管理者アカウントの作成、Webシェルの設置、バックドアの常駐が行われました
• 汚染の開始：2026年3月1日ごろ。発覚まで約5か月が経過しています

2026年8月8日の時点で、汚染されていた配信元はすでに正常なデータを返す状態に戻っていると報告されています。ただしそれは「これから新たに仕込まれる可能性が下がった」という意味であって、「3月から8月のあいだに、すでに仕込まれていないか」はまったく別の話です。ここを混同しないことが、今回いちばん大事なところだと考えています。

なぜ「最新版なら安全」が通用しないのか

これまでプラグインの脆弱性といえば、プラグイン本体のコードに弱点があり、開発元が修正版を出し、利用者が更新して塞ぐ、という流れが基本でした。だからこそ「更新を欠かさないこと」が保守の中心に置かれてきました。

今回、WordPress.org 上のソースコードは1行も書き換えられていません。攻撃者が奪ったのは、プラグインが管理画面にお知らせバナーを表示するために参照していた、クラウドストレージ上のデータへの書き込み権限でした。そこに不正なスクリプトを混ぜ込み、管理画面を開いた人のブラウザで実行させた、という構図です。

つまり、バージョンを上げていても、上げていなくても、対象プラグインを有効にしたまま管理画面にログインしていたなら条件は同じでした。「更新していないサイトが狙われた」という話ではありません。

これをもって「保守の常識が変わった」と言い切るのは、まだ早いと考えています。この型の攻撃がどこまで一般化するかは、もう少し様子を見ないと分かりません。ただ、「更新していれば安全です」という説明だけでは足りなくなったことは、事実として受け止めておく必要があります。

対象は7プラグイン。まず導入の有無を確認する

7本はいずれも、2026年8月7日から8日にかけて WordPress.org の公式ディレクトリで配布が停止され、審査待ちの状態になっています。

フォルダ名（スラッグ）は管理画面のプラグイン一覧には表示されません。確実に見るなら、サーバー上の wp-content/plugins/ の直下にあるフォルダ名を確認してください。プラグイン名だけで探すと、似た名前の別製品と取り違えることがあります。

なお、これらはいずれも Elementor の機能を拡張するアドオンなどです。Elementor 本体に問題があったわけではありません。Elementor を使っていないサイトであれば、これらが入っている可能性は低いといえます。

自己点検の3項目

対象プラグインを導入していた（あるいは過去に導入していた）場合は、更新履歴を追うのではなく、痕跡を直接探します。今回の攻撃で作られるアカウントやファイルは規則的に生成されるため、何を探せばよいかがはっきりしています。以下は公表されている情報にもとづく確認項目です。

1. 見慣れない管理者アカウントがないか

• ユーザー名が bd_ で始まり、そのあとに6文字の英数字が続く
• メールアドレスのドメインが @wordpress.org になっている

ただし今回の攻撃は、不正ユーザーを管理画面のユーザー一覧から隠すモジュールもあわせて設置します。つまり、画面上で見えないことは「いないこと」の証明になりません。確実に確認するなら、データベースの wp_users テーブルを直接見る必要があります。

2. 見覚えのないファイルがないか

• emer-run.php（PHPで書かれたWebシェル。外部から任意の操作を受け付ける入口になります）
• wp-content/mu-plugins/ 配下の class-wp-token-validate.php、class-wp-query-〇〇.php、wp-cache-optimizer.php

mu-plugins（Must Use Plugins）は、管理画面のプラグイン一覧に並ばず、画面から無効化することもできない特別なフォルダです。攻撃者にとっては居座るのに都合のよい場所なので、ふだんから中身を把握しておく価値があります。ここに何が入っているか即答できないサイトは、今回に関係なく一度見ておくことをおすすめします。

3. データベースに不審な設定値がないか

• wp_options テーブルに fz_emer_login_tokens、fz_emer_done_v1 という項目が追加されていないか

あわせて、サイトから ia-cdn[.]com への通信が発生していないかも、確認できる環境であれば見ておきたい点です（安全のため、ドメインは意図的に区切って表記しています）。

「見つかったかもしれない」ときの動き方

痕跡らしきものが見つかったとき、慌てて対象プラグインを削除するのは、実はあまり良い手ではありません。バックドアはプラグインとは別の場所に残るうえ、調査に必要な痕跡まで消えてしまうためです。順番としては、次のように進めます。

1. 現状のまま、ファイルとデータベースのバックアップを取る（証拠の保全）
2. 管理者権限を持つユーザーを全件洗い出し、身に覚えのないものを特定する
3. 不審なファイルを削除し、対象プラグインを停止・削除する
4. すべてのユーザーのパスワードを変更し、wp-config.php の認証キー（SALT）を再発行して、ログインセッションをすべて無効化する
5. 数日おいて、もう一度おなじ3項目を点検する

手順4まで終えても、侵入経路が別に残っていれば再発します。判断に迷う段階であれば、無理に自力で完結させず、対応できる制作会社や保守事業者に相談することをおすすめします。中途半端な復旧は、いちばん時間もお金もかかる選択になりがちです。

この事案が、保守契約に投げかけたもの

月額の保守を「WordPress本体とプラグインの更新代行」と定義している契約は、決して少なくありません。今回のような事案は、その定義のままでは手が届きません。更新履歴を見るかぎり、何も起きていないように見えるからです。

いま契約している保守に、「異常がないかを能動的に確認し、結果を報告する」ところまで含まれているかどうか。今回を機に一度確認しておくと、いざというときの初動が変わります。含まれていないこと自体が悪いわけではなく、含まれていないと知らないまま安心していることが問題になります。

当工房でも、WordPressサイトの構築から保守・運用までを承っています。「うちのサイトに7本のどれかが入っていないか確認したい」「点検の手順を一緒に確認してほしい」といったご相談も歓迎です。まずはお気軽にお声がけください。

よくある質問

参考にした情報源

• PSA: Supply Chain Compromise in BdThemes Ecosystem via Poisoned API Response（Wordfence）
• BdThemes Supply Chain Attack Poisons JSON to Create Rogue WordPress Admins（The Hacker News・2026年8月11日）
• BdThemes plugins supply-chain hack creates rogue WordPress admins（BleepingComputer）

本記事の内容は2026年8月12日時点の公開情報にもとづくものです。調査の進展により、対象プラグインや推奨される対処が更新される可能性があります。実際の対応にあたっては、必ず一次情報（Wordfence および各開発元の発表）をあわせてご確認ください。