Hikosachi 開発チームです。
今回は、直近数日の間に報告された2件の情報をお伝えします。
1件目は人気のSEOプラグイン「Rank Math SEO PRO」で発生したサプライチェーン型の侵害事件で、該当バージョンを有効化したサイトはバックドアを埋め込まれた可能性があるため、単純な更新だけでは不十分な点が特に重要です。
2件目はマップ表示プラグイン「MapSVG」の複数の脆弱性修正です。
今回のポイント
- 有料版「Rank Math SEO PRO」バージョン3.0.123の一部配布パッケージが、2026年10月15日20:02〜10月16日07:12（UTC）の間に悪意のあるコードへ改ざんされていた（CVE-2026-111862、CVSS 9.8）。無料版（WordPress.org配布の「Rank Math SEO」）は対象外。
- 改ざんされたパッケージを有効化していた場合、修正版（3.0.124）へ単純更新するだけではサイトに埋め込まれたバックドアは除去されない。侵害を前提とした対応が必要。
- マップ表示プラグイン「MapSVG」バージョン8.16.1以前に、未認証でも悪用可能なSQLインジェクション（CVE-2026-111399、CVSS 8.5）を含む複数の脆弱性。修正版は8.16.2。
1. Rank Math SEO PRO のサプライチェーン侵害（CVE-2026-111862）
「Rank Math SEO」は検索エンジン最適化（SEO）のための非常に人気の高いWordPressプラグインで、無料版はWordPress.org上だけでも数百万件規模の導入実績があります。
有料版「Rank Math SEO PRO」のバージョン3.0.123について、2026年10月15日20:02〜10月16日07:12（UTC）の間に配布サーバーからダウンロード・更新を行った一部のユーザーに対し、悪意のあるコードが混入した改ざん版のパッケージが配布されていたことが判明しました。
Wordfenceは2026年10月17日付のアドバイザリでこの事案をサプライチェーン侵害（Supply-Chain Compromise）として報告し、深刻度はCVSS 9.8（Critical）、CVE-2026-111862として追跡されています。
Rank Math社によると、改ざんの影響を受けるのは有料版のみで、無料版「Rank Math SEO」（WordPress.org配布）は対象外とのことです。
混入したマルウェアは、永続的なバックドアアクセスの確保、認証情報・APIキーの窃取などを行う機能を持つとされています。Rank Math社の報告では、侵害の痕跡（IOC）としてwp_optionsテーブル内の不審なオプション行（例として_np5pvf754cという名前のものが報告されています）、隠しPHPバックドア、PHPとして実行される不審な.cacheファイルなどが挙げられています。
対応策
Rank Math SEO PROをお使いの場合、まず該当する時間帯（10月15日20:02〜10月16日07:12 UTC）にバージョン3.0.123をダウンロード・更新・有効化したかどうかをご確認ください。
該当する場合は、修正版（3.0.124以降）へ単純に更新するだけでは不十分です。
既にサイトが侵害されている前提で、侵害前の正常なバックアップからの復元、上記IOCの確認・駆除、WordPress管理者・データベース・関連サービスの認証情報やAPIキーのローテーションを行うことを強く推奨します。
対応に不安がある場合はご相談もご検討ください。
2. MapSVG のSQLインジェクション等の複数脆弱性（CVE-2026-111399 ほか）
「MapSVG」はSVGベースのインタラクティブな地図を表示できるWordPressプラグインです。
Patchstackが2026年10月16日に公開した情報によると、バージョン8.16.1以前に複数の脆弱性が存在します。最も深刻なのは未認証の攻撃者でも悪用可能なSQLインジェクション（CVE-2026-111399、CVSS 8.5）で、データベースの不正な読み取りにつながるおそれがあります。
同じバージョン範囲には、機密データ露出（CVE-2026-111397、CVSS 5.3）やクロスサイトスクリプティング（XSS）の脆弱性も報告されています。
これらの脆弱性はいずれもバージョン8.16.2で修正されています。
対応策
MapSVGをお使いの場合は、バージョン8.16.2以降へ速やかに更新してください。
特にSQLインジェクションは未認証での悪用が可能とされているため、優先度を高めに対応することをおすすめします。
まとめ
今回最も注意が必要なのは、Rank Math SEO PROのサプライチェーン侵害です。
該当する時間帯にバージョン3.0.123を導入・更新したサイトは、単なるプラグイン更新では対応が完了しない点にご留意ください。
MapSVGについても、未認証で悪用可能なSQLインジェクションが含まれるため、該当プラグインをお使いの場合は早めのバージョン確認・更新をお願いします。
参照元
- BleepingComputer: WordPress SEO plugin Rank Math compromised to backdoor websites
- SC World: Malicious Rank Math PRO version distributed in supply chain attack
- Patchstack: WordPress MapSVG Plugin <= 8.16.1 is vulnerable to SQL Injection
- OpenCVE: CVE-2026-111862（Rank Math SEO PRO）
サイトの挙動に不安がある場合や、ご自身での調査・対応が難しい場合は、アイネクシオ合同会社までお気軽にご相談ください。
