Hikosachi 開発チームです。
今回は、駆除してもサイト内の複数の場所から自動的に復元してしまう新型のWordPress用バックドア「SC」に関するセキュリティ企業Sucuriの調査レポートと、イベント管理プラグイン「Events Manager」で修正された情報漏えいの脆弱性をあわせてお伝えします。
今回のポイント
- セキュリティ企業Sucuriが、ファイル・データベース・共有メモリなど最大8箇所に分散して自己を複製し、駆除してもページ読み込みのたびに復元してしまう新型WordPressバックドア「SC」を報告。
- SCはEthereumの公開RPCゲートウェイ経由で指令を受け取るなど、これまでのバックドアより持続性・隠蔽性の高い設計になっている。
- 予約・イベント管理プラグイン「Events Manager」（7.4.5以前）に情報漏えいの脆弱性（CVE-2026-105068）が見つかり、7.4.6で修正済み。
1. 駆除しても自動復元する新型バックドア「SC」（Sucuri調査）
セキュリティ企業Sucuriは、侵害されたWordPressサイトで発見した新型バックドアを、注入されたコード内に残る「SC_」という識別子にちなみ「SC」と名付けて報告しました。
研究者のGabriel Barbosa氏によると、このバックドアはファイル・データベース・（対応環境では）共有メモリなど最大8箇所に同時に自身を保持し、いずれか1箇所が残っていれば他の箇所をすべて再生成してしまう「自己修復型」の構造になっています。
具体的には、PHPリクエストの実行前に読み込まれる .user.ini（auto_prepend_file 設定によるローダー強制読み込み）、ブートストラップ時に読み込まれる wp-content/db.php（圧縮・Base64エンコードされた本体ペイロードを保持）、不正なmust-use/通常プラグイン、改変されたテーマファイル、データベース内のエンコード済みペイロードなどが報告されています。
ファイルを1つずつ削除しても、残った箇所から直ちに復元されるため、一般的な「ファイルを見つけて削除する」駆除手順では太刀打ちできません。通信は特定のサーバーではなくEthereumの公開RPCゲートウェイ経由で行われるとされ、管理画面上での検知も回避する作りになっています。
対応策
Sucuriおよび追随する分析記事は、感染が疑われる場合は「その場での駆除」ではなく、クリーンな状態からの再構築（WordPress本体・プラグイン・テーマを公式ソースから再インストールし、検証済みのコンテンツ・データベースのみを移行）を推奨しています。
あわせて管理者パスワード、wp-config.php のソルト値、データベースの認証情報、各種APIキーのローテーション、および侵入の原因となった脆弱なプラグイン・テーマや漏洩した認証情報など、侵入経路そのものの特定・遮断も必須としています。
原因を特定せずに駆除だけ行うと、同じ経路から再び侵入される可能性が高い点に注意してください。
2. Events Manager プラグインの情報漏えいの脆弱性を修正（CVE-2026-105068）
予約・イベント管理プラグイン「Events Manager」の7.4.5以前のバージョンに、本来公開されるべきでない機密情報が外部へ露出しうる脆弱性（CVE-2026-105068）が報告されました。
CVSSスコアは5.3（中程度）で、Patchstackは重大度を「低」、悪用の可能性も低いと評価していますが、該当バージョンをお使いの場合は7.4.6以降へのアップデートが推奨されます。
なお同プラグインでは、権限の低いログイン済みユーザーが他者の未公開・承認待ち・ゴミ箱内のイベントや会場の詳細（住所など）を閲覧できる別の脆弱性（CVE-2026-93662、影響バージョン7.4.1〜7.4.4）も報告されており、いずれも7.4.5または7.4.6で修正されています。
まとめ
今回報告された「SC」バックドアは、駆除してもサイト内の複数箇所から自己再生する点が特徴で、万一感染が疑われる場合は個別ファイルの削除ではなく、クリーンな状態からの再構築と認証情報の総入れ替えをご検討ください。
Events Managerプラグインをお使いの場合は、最新版への更新をおすすめします。
サイトの異常な挙動に心当たりがある、どこまで自社で調査・対応すればよいか分からない、といったご相談も承っております。お気軽にアイネクシオ合同会社までお問い合わせください。
