WordPressプラグインの公式更新でも注意が必要ですか？

A. ShapedPluginの事例では、正規の更新経路が悪用されていました。

今回の事例では、無料版ではなく有料版プラグインの配布経路に不正なコードが混入していました。攻撃者は有料版利用者に対象を絞る形で活動していたと報告されています。

不正なコードには、パスワードだけでなく2要素認証の秘密情報を取得する機能も含まれていました。そのため、パスワード変更後でも再びアクセスされる可能性が指摘されています。

また、完成済みの配布ファイルではなく、開発や配布の仕組みそのものが影響を受けていた可能性があります。

不正な機能は外部から追加のプログラムを取得した後、自身の痕跡を消すよう設計されていました。さらに、導入された不正プラグインは管理画面から見えないようにされていました。

正規ライセンスの購入や通常の更新手順を利用していても影響を受ける可能性があった事例とされています。

公式が罠になった：ShapedPlugin有料版へのサプライチェーン攻撃 https://constella-sec.jp/blog/hobokomo-securitynews/tips-1230/