概要
- 2025年7月、 Gravity Forms プラグインに対する サプライチェーン攻撃 が発覚
- バックドアは バージョン2.9.12 で発見、 composerや手動ダウンロード が主な感染経路
- gravityapi.orgドメイン経由で WordPressサイト情報を外部送信、マルウェア設置
- バージョン2.9.13 で修正済み、 Namecheap が悪用ドメインを停止
- 影響範囲は限定的、 迅速なアップデートと確認 が推奨
Gravity Formsプラグインへのサプライチェーン攻撃概要
- 2025年7月11日、 Gravity Forms プラグインの公式配布パッケージ内に マルウェア 混入を確認
- 初期報告により、 gravityforms.com からのダウンロードファイル内に 不審なHTTPリクエスト が含まれていることが判明
- マルウェアは gravityapi.org へのPOST通信を行い、 サイト情報やプラグインリストなどを外部送信 する挙動
- 送信内容には サイトURL、サイト名、WordPressバージョン、PHPバージョン、アクティブテーマ、ユーザー数等 が含まれる
- gravityapi.orgは 2025年7月8日に新規登録 されたドメインで、 悪意ある目的 で使用されたと推測
技術的詳細と感染挙動
- マルウェアは update_entry_detail関数 としてgravityforms/common.php内に実装
- プラグイン有効化時に plugins_loadedアクションフック で自動実行
- サイト情報をgravityapi.org/sitesへPOSTし、 レスポンス内容をファイルとして保存
- レスポンスには base64エンコードされたPHPコード が含まれ、WordPress内の任意パスに保存される
- 例： wp-includes/bookmark-canonical.php などに 不正なPHPファイル として展開
- 保存されたファイルは、 WordPress管理・最適化ツールを装うマルウェア で、さらなる攻撃の踏み台となる恐れ
バージョン・感染範囲・対策
- 感染バージョン：2.9.12（最新）、2.9.11.1などにも偽装URLあり
- 2.9.13で修正版リリース、公式サイトからの再ダウンロードでマルウェア除去可能
- Namecheap がgravityapi.orgドメインを停止し、さらなる悪用を防止
- composerや手動ダウンロード によるインストールのみ感染、 自動アップデート経由では感染報告なし
- 大規模ホスティング会社の調査でも感染拡大なし、短期間のみ配布された可能性
検知・対応方法
- サイト内に wp-includes/bookmark-canonical.php などの不審ファイルがないか確認
- gravityformsプラグインを 2.9.13以上にアップデート
- サーバーログで gravityapi.orgへの通信履歴 や 193.160.101.6からのリクエスト をチェック
- 不審ファイル発見時は 削除し、管理者パスワード等の変更も推奨
今後の注意点と推奨対応
- サプライチェーン攻撃は 公式配布元でも発生し得る ため、 信頼できる経路からのダウンロード 徹底
- プラグイン・テーマは 常に最新バージョンを維持
- 不審な通信やファイル生成の監視 を日常的に行う体制構築
- 公式からの 緊急アップデート情報やアナウンスに迅速対応
参考：攻撃の全体像と関連情報
- Patchstack による調査で、同時期に Groundhogg プラグインにも類似のサプライチェーン攻撃が発生
- 今回の攻撃は 標的型・短期間配布 のため、被害範囲は限定的
- Gravity Forms 開発元RocketGeniusも即座に調査・対応を公表
まとめ
- Gravity Forms 2.9.12 の一部配布パッケージに マルウェア混入
- 2.9.13以降へ速やかにアップデート し、不審ファイルの有無を確認
- サプライチェーン攻撃への 警戒と監視体制強化 が今後も重要