Admin Menu Editor Proの公式配布基盤が侵害、2.35/2.36にWebシェル型バックドアを混入

WordPressプラグイン「Admin Menu Editor Pro」の脆弱性情報。影響バージョンは2.35および2.36（2026-09-14〜15に配布された侵害版）。修正版 安全な修正版未確認（2.34は侵害前とされる） への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

Admin Menu Editor Pro（プラグイン）

CVSS / 深刻度

10 / Critical

影響バージョン

2.35および2.36（2026-09-14〜15に配布された侵害版）

修正版

安全な修正版未確認（2.34は侵害前とされる）

脆弱性種別

サプライチェーン侵害 / バックドア / Webシェル / 隠しユーザー作成

脆弱性の概要

Admin Menu Editor Proの公式配布サーバーが侵害され、正規アップデートを装った2.35および一部2.36にWebシェルを設置する悪意あるコードが混入しました。開発元は2.35を導入したサイトを侵害済みとして扱い、2.36も潜在的な侵害として扱うよう案内しています。

技術的な内容

開発元によると2.35にはincludes/wp-user-consent.phpが追加され、Webシェルを設置します。2.36を公開した後も攻撃者の侵入が再発し、配布サーバーのroot権限を取得されていた可能性があります。初期侵害では約230顧客が影響し、複数サイト運用を含め少なくとも約1,500サイトへの導入が報告されています。wp-content/object-cache配下の16進数名PHP、wp_ocacheまたは_wp_ocache_で始まるoption、wp_で始まる隠しユーザー、wp-で始まるMUプラグイン、_wp_cconsent_tick cronが侵害指標です。

悪用状況

実攻撃を確認

推奨対応

2.35または2.36を導入したサイトは、可能であれば2026年9月14日より前の正常なバックアップから復元してください。該当プラグインを削除し、侵害指標を確認・除去したうえで、全WordPressユーザーのパスワード、WordPress認証キー・salt、DB、FTP/SFTP、ホスティング、APIキー等の資格情報をローテーションし、9月14日以降のファイル変更とログを精査してください。

情報源

• Admin Menu Editor Pro公式（開発元インシデント報告）
• Patchstack脆弱性データ（Vulners mirror・2.35-2.36 Backdoor）
• BleepingComputer報道転載（開発者発言・影響件数）

情報確認日時：2026年9月16日 12:53

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。