CyberSecurityAction

サプライチェーン/依存関係

BdThemes WordPressプラグイン サプライチェーン攻撃：不正な管理者アカウントが自動生成される

人気WordPressデザインツール開発元BdThemesが提供するリモートJSONフィードが改ざんされ、サイト管理者のブラウザを通じて不正な管理者アカウントが生成されるサプライチェーン攻撃が発覚しました。

喜村 圭佑（編集責任者）更新 約5分

SHARE

XB!in
BdThemes WordPressプラグイン サプライチェーン攻撃：不正な管理者アカウントが自動生成される

THREAT GAUGE算出基準

IMPACT（影響範囲）7.5
URGENCY（対応緊急度）8.5
EXPLOIT（悪用の容易さ）7.5

“管理者ログイン時に自動実行される高度な攻撃。被害確認には詳細調査が必要。”

01 · Overview

ニュースの概要

2026年8月10日、BleepingComputerはWordPress向けプレミアムデザインツールの開発元BdThemesのアップストリームインフラが侵害され、管理者のブラウザに配信されるリモートJSONフィードが改ざんされたことを報告しました。改ざんされたフィードは管理者がWordPress管理画面にログインした際に自動的に実行され、攻撃者が制御する不正な管理者アカウントをサイトに作成します。

BdThemesはElement Pack、Prime Slider、Ultimate Post Kitなど複数の人気WordPress拡張プラグインの開発元で、WordPress.orgのプラグインリポジトリに登録されているプラグインは合計で数十万件以上のアクティブインストールを持ちます。これらのプラグインを利用しているWordPressサイトのうち、管理者がログイン状態でサイトを閲覧した場合に攻撃が成立します。

この攻撃の手口は「サプライチェーン型」で、プラグインのソースコード自体ではなくプラグインが外部から動的に取得するJSONフィード（設定データ・ライセンス情報等）が改ざんの対象となっています。そのため、ウイルス対策ソフトやWordPressのファイル整合性チェックでは検出が困難であり、被害が潜在化しやすいという特徴があります。

不正な管理者アカウントが作成されると、攻撃者はWordPressサイトへの完全な管理者権限を取得し、フィッシングページの設置・マルウェア配布・SEOスパム挿入・個人情報の窃取など多様な悪用が可能となります。WordPressは日本国内でも多数の企業・団体・メディアサイトが利用しており、国内でもBdThemesプラグインを利用しているサイトへの影響が懸念されます。

攻撃種別
サプライチェーン攻撃（JSONフィード改ざん）
発覚日
2026年8月10日
影響製品
BdThemes製WordPress拡張プラグイン各種
攻撃の結果
不正管理者アカウントの自動生成
潜在的影響数
数十万件以上のWordPressサイト（推定）
検出の難しさ
ファイル改ざんなし・ブラウザ経由で実行

BleepingComputerの報道に基づく。BdThemesからの公式声明・修正状況は発表時点で確認中。継続調査が必要。

02 · Analysis

詳細な原因解説

今回の攻撃の核心は「プラグイン本体のコードではなく、外部から取得するデータ（JSONフィード）を汚染する」という手法にあります。WordPressプラグインの多くは、ライセンス管理・設定同期・広告表示などを目的として、開発元サーバーから定期的にJSONデータを取得します。このリモートフィードが改ざんされると、プラグインは「正規の動作」としてフィードの内容を処理するため、ファイアウォールや改ざん検知ツールの目をすり抜けます。

攻撃者はBdThemesのサーバーインフラ（または配信CDN）に不正アクセスし、JSONフィードにJavaScriptコードまたはWordPress管理者アカウント作成コマンドを埋め込んだと推測されます。管理者がWordPress管理画面にログイン中にプラグインが当該フィードを取得・処理することで、ブラウザのDOM操作やWordPress REST APIを通じて不正アカウントが生成されます。

このサプライチェーン攻撃の悪質な点は、サイト運営者の視点からは「プラグイン自体に問題はない」ように見えることです。WordPress本体・プラグイン・テーマのすべてが正規バージョンであっても、配信インフラが侵害されている間は攻撃が成立し続けます。サイト管理者が「管理画面にログインするだけで侵害が成立する」という性質は、特に技術的な知識が少ないWordPressサイト運営者にとって見過ごされやすいリスクです。

日本のWordPressサイトでは管理者が頻繁に管理画面にログインして記事を更新するという運用が一般的であり、攻撃が成立する機会は多いと考えられます。特にデザイン・制作会社が多数のクライアントサイトを一元管理しているケースでは、1人の管理者のセッションを通じて複数のサイトが同時に侵害される可能性もあります。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

SCAMPER：WordPress外部フィード悪用の進化形

Q. 攻撃者はJSONフィード改ざん手法を他のWordPressプラグインにどう「転用」するか？

【Substitute（代替）】BdThemes以外にも外部JSONフィードを取得するWordPressプラグインは多数存在します。同様の手口がWooCommerce拡張・SEOプラグイン・ページビルダー（Elementor・Divi等）のライセンス管理システムに転用される恐れがあります。【Combine（結合）】不正管理者アカウント作成後、フィッシングページ設置＋SEOスパムを組み合わせ、侵害サイトを「踏み台」として別のユーザーへのフィッシング攻撃に利用するマルチステージ攻撃が予測されます。【Eliminate（除去）】プラグインが外部依存を排除（オフライン動作モード）できる設計であれば、今回の攻撃は成立しませんでした。プラグイン選定時に「外部通信の有無」を評価基準とする重要性が改めて示されました。

システム思考：WordPressエコシステムのサプライチェーン脆弱性

Q. 数十万のサイトが同一プラグインを依存する構造は何を意味するか？

WordPressのエコシステムは「少数の人気プラグインに多数のサイトが依存する」という集中リスク構造を持ちます。BdThemesのように広く使われるプラグインが1つ侵害されるだけで、数十万サイトが同時に被害を受けるという「シングルポイント・オブ・フェイラー」が生まれています。日本市場でも同様で、国内SaaSベンダーが提供するWordPressマネージドホスティングサービスが特定プラグインをプリインストールしている場合、侵害の影響がホスティング顧客全体に波及します。このリスクを緩和するには、プラグインの外部依存性の審査、外部通信の監視、最小権限原則に基づくWordPress設計が重要です。

今すぐ実装できる防衛策

最優先は管理者アカウントの棚卸しと不審アカウントの削除です。WordPressの「ユーザー」管理画面から管理者権限（Administrator）を持つ全アカウントを確認し、登録した覚えのないアカウントを即削除してください。wp-config.phpの認証キー・ソルトのリセットも合わせて実施することで、既存の不正セッションを無効化できます。

中期的な対策として、WordPressサーバーのアウトバウンド通信を制限するファイアウォールルールの整備と、すべての管理者アカウントへの2FA適用を推進してください。これにより、サプライチェーン攻撃を含む多様な攻撃手法への耐性が高まります。

06 · AI Prompt

AI対策プロンプト

あなたはWordPressセキュリティの専門家です。私は[組織名]（[業種]）でWordPressサイトを[サイト数]件運用しています。BdThemes製プラグインのサプライチェーン攻撃により、不正な管理者アカウントが生成される被害が発生した可能性があります。以下の環境情報をもとに、今すぐ実施すべき調査手順と対処法を教えてください。 【環境情報】 - BdThemes製プラグインの利用：[利用中のプラグイン名] - WordPressのホスティング形態：[マネージドホスティング / VPS / オンプレミス] - セキュリティプラグインの導入：[Wordfence / Sucuri / なし / その他] - 2FAの設定状況：[全管理者に適用済み / 一部適用 / 未設定] 【出力内容】 1. 侵害確認のための調査チェックリスト（5項目以内） 2. 不正アカウントが見つかった場合の初動手順 3. 再発防止のためのWordPressセキュリティ強化策リスト（3〜5件） 4. 影響をうけたサイト利用者への告知文のドラフト（150字以内）

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

会社・組織の名称

業種（EC・メディア・企業サイトなどで対策の優先度が変わります）

運用しているWordPressサイトの件数

BdThemes製プラグインのうち利用しているものの名称

WordPressのホスティング形態

導入しているWordPressセキュリティプラグイン

WordPressログインへの2FA適用状況

キーワード

  • WordPress
  • サプライチェーン攻撃
  • プラグイン
  • BdThemes
  • 不正管理者

SOURCES · 参考情報源