ShapedPlugin update flow hacked to infect WordPress sites

ShapedPlugin社の複数のWordPressプラグインが、サプライチェーン攻撃により侵害されました。この攻撃では、ベンダーの公式アップデートシステムを通じて、感染したリリースが有料顧客に配布されました。

この方法で配信されたマルウェアは、WooCommerceのコンポーネントを装った偽のプラグインをインストールし、認証情報を盗み出し、攻撃者にリモートでのファイル書き込み権限を付与しました。

ShapedPluginは、フロントエンド／UIコンポーネントおよびコンテンツ表示プラグインを専門とするWordPressプラグインベンダーであり、無料製品のアクティブインストール数は合計40万件を超えています。

image

このセキュリティインシデントの影響を受けたのは、WooCommerce用「Product Slider Pro」（バージョン3.5.4以前）、「Real Testimonials Pro」（バージョン3.2.5）、および「Smart Post Show Pro」（バージョン4.0.2以前）の3つの有料プラグインのみでした。

WordPressセキュリティ企業Defiantが自社のWordFenceファイアウォールから収集したデータによると、このバックドアは5月21日にShapedPluginのPro版ビルドに注入され、6月10日に悪意のある可能性のあるアップデートに関する最初の顧客報告が寄せられました。

研究者らは6月12日にShapedPluginのサイトから感染したプラグインをダウンロードしてこの侵害を確認し、開発元は6月16日にこのインシデントを認めた。

「当社のチームは問題を特定次第、直ちに調査を開始し、この問題を軽減するために必要な措置をすでに講じています」と、ShapedPluginはWordFenceに語った。

また、同社は更新版のプラグインを準備中であり、アップデートチャネルに公開する前に検証を行っていると付け加えた。

サプライチェーンの侵害

Wordfenceの分析によると、感染したプラグインには、WordPress管理者がウェブサイトの管理パネルにアクセスした際に起動する悪意のあるローダーファイル（LicenseLoader.php）が含まれている。

このファイルはコマンド＆コントロール（C2）サーバーに接続し、第2段階のバックドアをダウンロードして偽のプラグイン（woocommerce-subscription または woocommerce-notification）としてインストールし、攻撃者に情報を報告した後、証拠を消去するために自ら削除されます。

WordPressのプラグイン一覧には表示されないこの偽のプラグインは、感染したサイトから以下の情報を盗み出そうとします：

  • WordPressのログイン認証情報（ユーザー名、パスワード、セッションクッキー、ユーザーロール、IPアドレス、ブラウザの詳細）
  • 一般的なWordPressセキュリティプラグインからの二要素認証（2FA）のシークレット
  • wp-config.php 内のデータベース認証情報および WordPress 認証キー
  • 管理者アカウントの詳細
  • SMTP／メールサービスの認証情報
  • 過去3か月分のWooCommerce注文データ（支払い方法情報を含む）

研究者らは、ファイルの改変状況、自動注入を示唆するタイムスタンプのパターン、およびパッケージに含まれるGitビルドの参照情報に基づき、これはビルドパイプラインへの侵害であったと推測しています。

また、WordPress.orgでホストされているリリースには問題がないことが確認されており、攻撃者がShapedPluginのリリースインフラストラクチャにアクセスしたことが示唆されています。

WordPressは現在、このインシデントをCVE-2026-10735として追跡しており、CVE-2026-49777も重複として報告されています。

ShapedPluginへの侵害は、別の主要なWordPress製品であるOptinMonsterが、マーケティングサーバーの欠陥によりハッカーがCDNアカウントの認証情報を盗み出すことを可能にしたCDNサプライチェーン攻撃によって侵害された直後に発生しました。

しかし、ShapedPluginのケースでは、侵害の起点となったのはビルドパイプラインであるようです。

当サイトはプラグインベンダーにコメントを求めたところ、同社は「Real Testimonial Pro」バージョン3.2.6のリリース情報を提示した。このリリースノートには、「修正：WPCS関連の警告の一部」と記載された単一の修正項目が記載されている。

ShapedPlugin社はまた、Wordfenceがパッチによって問題が解決されたことを確認した後、公式声明を発表する予定であると述べています。

Wordfenceによると、Product Slider Proのバージョン3.5.4およびSmart Post Show Proのバージョン4.0.2で修正が提供されました。

偽のWooCommerceプラグインが見つかった場合、ウェブサイト管理者は、サイト上のすべてのパスワードをリセットし、二要素認証（2FA）のシークレットを再生成し、ユーザーリストに不正な追加がないか確認することを推奨されます。