WordPress の管理メニュー編集プラグイン Admin Menu Editor の有料版 Pro で、9/14 に開発元の配信サーバーが乗っ取られ、バックドア入りの更新 2.35 と 2.36 が配布されました。開発元の Janis Elsts 氏が同日に告知を出しています。脆弱性ではなく配信の仕組みが乗っ取られた事故で、この日に更新を当てたサイトには、その時点で Web シェルと隠し管理者が入っています。
見るのは 9/14 に Pro を 2.35 か 2.36 に上げたかどうかだけで、2.34 以下のまま通り過ぎたサイトは開発元の告知でもクリーン扱いです。修正版はまだ出ておらず、開発元サイトは販売・更新チェック・ダウンロードを止めています。
https://adminmenueditor.com/blog/security-incident-affecting-customers-2026-09-14/
開発元の告知をもとに、やることだけ整理しました。
取るべき対応
- プラグイン一覧で Admin Menu Editor Pro のバージョンを見る
- 2.34 以下なら開発元の告知ではクリーン扱いで、この記事の対象から外れます。WordPress.org 配布の無料版も今回の配信経路とは別で、告知に無料版への言及はありません
- 2.35 か 2.36 なら、9/14 より前のバックアップからサイトごと復元する
- 開発元の第一推奨です。復元できないときは、プラグインと wp-content/object-cache ディレクトリを削除し、下の「起こったこと」にある痕跡を消したうえで、全ユーザーのパスワード、wp-config.php の鍵とソルト、DB・FTP・パネル・API のキーを再発行します。開発元はこの手順では足りない可能性があると断っています
- 開発元からメールが来ていなくても確認する
- 被害者の名簿は不完全だと開発元が明記しています。クリーン版はまだ無く、手元に残っている 2.34 を使い続けるのが開発元の案内です
対象者
対象は 9/14 に Admin Menu Editor Pro を 2.35 か 2.36 に更新したサイトです。プラグインの自動更新を有効にしていたサイトは、本人が操作していなくても対象になります。開発元の推計は最初の侵害で約 230 顧客（1 顧客で複数サイトを持つ例が多い）、ダウンロード時刻から疑わしい顧客がさらに約 300 で、BleepingComputer は少なくとも 1,500 サイトと報じました。制作会社が顧客サイトの管理画面を整えるために入れることが多いプラグインなので、自分のサイトだけでなく保守している全サイトの一覧で確認するのが無難です。
起こったこと
2.35 には includes/wp-user-consent.php というファイルが追加されていて、有効化されたサイトに Web シェルを設置します。BleepingComputer によると、2.35 が公式サイトにあったのは 9/14 の 06:00〜13:00 UTC（日本時間の 15:00〜22:00）で、その間に更新チェックを受けたサイトに配られています。利用者からの報告で開発元が確認している痕跡は次の 5 つで、隠しユーザーは管理画面の一覧に出ないのでテーブルを直接見ます。
- wp-content/object-cache の下にある 16 進名のディレクトリ（中に Web シェル）
wp_optionsのwp_ocacheか_wp_ocache_で始まるオプションwp_usersのwp_+ 16 進のユーザー- wp-content/mu-plugins の
wp-+ 16 進のファイル - WP-Cron のイベント
_wp_cconsent_tick
原因
原因は開発元の告知に書かれています。要約すると、adminmenueditor.com に悪性の zip が置かれたことに気づいて取り除き、同日にクリーンな 2.36 を出したものの、その後に再侵入されて 2.36 も改変されました。2 回目の調査で攻撃者がサーバーの root 権限を持っている可能性が出たため、開発元はサーバーを停止し、新しい基盤に作り直すまで配信を止めています。侵入経路は公表されておらず、調査は続いています。
