何が起きたか
画像のスライドショーを作るプラグイン「Smart Slider 3 Pro」の 3.5.1.35 に、開発元から配布される段階で不正なプログラムが混入していました（CVE-2026-34424、CVSS 9.8）。約 6 時間にわたって配布されていました。
入れたサイトには、ログインなしで外部から操作できる仕組みと、一覧に表示されない管理者アカウントが仕込まれます。正規の更新を当てただけで被害にあう「供給網攻撃」と呼ばれるものです。WordPress.org で配られている無料版は対象外です。
対象と修正版
- 対象: 3.5.1.35 のみ
- 修正版: 3.5.1.36
確認すること
- 3.5.1.36 以降に更新する
- 3.5.1.35 を一度でも入れたサイトは、侵入されたものとして調べる（wpsvc_ で始まるアカウントがないかなど）
出典
ご自身での確認が難しい場合
公開されている情報の範囲で状況を確認し、ご確認いただきたい点を 1 枚にまとめて無料でお送りします。