何が起きたか
集客用のプラグイン「OptinMonster」「TrustPulse」「PushEngage」が外部から配信していたスクリプトが、2026 年 6 月 12 日〜14 日に改ざんされた状態で配信されていました（Patchstack の報告）。
この期間に管理者がサイトを開くと、隠れた管理者アカウントと、自分を隠すプログラムを入れられます。プラグインの更新とは関係なく起きる被害です。CVE 番号と CVSS の値は出ていません。
対象と修正版
- 対象: 上記 3 製品を使っているサイト（2026 年 6 月 12 日〜14 日）
確認すること
- 管理者アカウントの一覧を確かめる（developer_api1、dev_ で始まる名前など）
- 見覚えのないプラグインがないか確かめる
- 被害があった場合は、パスワードと鍵をすべて入れ替える
出典
ご自身での確認が難しい場合
公開されている情報の範囲で状況を確認し、ご確認いただきたい点を 1 枚にまとめて無料でお送りします。