結論：Smart Slider 3を使っているWordPressサイトは今すぐバージョンを確認してください
2026年4月7日、WordPress向け人気スライダープラグイン「Smart Slider 3」の開発元 Nextend のアップデート配信インフラが侵害され、RAT（Remote Access Trojan＝遠隔操作ツール）が混入した悪意あるバージョンが公式チャネルから約6時間にわたり配布されていたことが判明しました。
Smart Slider 3はWordPress公式プラグインディレクトリで100万以上のアクティブインストールを持つ人気プラグインです。自動更新を有効にしていたサイトは、管理者が何も操作しなくても感染している可能性があります。
事件の概要
| 項目 | 内容 |
|---|---|
| 発覚日 | 2026年4月7日 |
| 侵害対象 | Nextend社のアップデート配信インフラ |
| 攻撃手法 | サプライチェーン攻撃（正規のアップデートに悪意あるコードを注入） |
| 混入物 | RAT（Remote Access Trojan） |
| 配布期間 | 約6時間（日本時間 4/7 午前3時頃〜午前9時頃） |
| 影響範囲 | 配布期間中にSmart Slider 3を更新したすべてのWordPressサイト |
| 修正版 | Nextendが同日中にクリーンなバージョンを再リリース |
何が起きたのか
攻撃者はNextend社のビルドパイプラインまたはリリース配信サーバーに不正アクセスし、正規のSmart Slider 3アップデートパッケージにRATを埋め込みました。このパッケージはWordPressの公式アップデートチャネルを通じて配信されたため、管理画面の「プラグイン更新」から通常の手順でインストールされたものです。
RATが混入したバージョンをインストールすると、攻撃者はWordPressサイトに対して以下の操作を遠隔から実行できるようになります。
- サーバー上のファイルの読み取り・書き換え・削除
- データベースへのアクセス（顧客情報、管理者認証情報の窃取）
- Webシェルの設置による永続的なバックドアの確保
- サーバーを踏み台にした他サイトへの攻撃
【確認手順】自社サイトは大丈夫か？
ステップ1：プラグインバージョンを確認する
- WordPress管理画面にログイン
- 「プラグイン」→「インストール済みプラグイン」を開く
- Smart Slider 3のバージョン番号を確認する
- Nextendが公開したクリーンバージョンの番号と照合する
自動更新を有効にしていた場合は特に注意が必要です。 4月7日午前3時〜9時（日本時間）にアップデートが実行された形跡がないか、更新ログを確認してください。
ステップ2：該当期間のアクセスログを確認する
サーバーのアクセスログで以下のパターンを検索してください。
- `/wp-admin/` 以外のディレクトリへの不審なPOSTリクエスト
- `wp-content/plugins/smart-slider-3/` 配下への想定外のファイルアクセス
- 見覚えのない外部IPアドレスからの管理画面へのアクセス
- `.php` ファイルの新規作成や変更（タイムスタンプが4/7前後のもの）
ステップ3：マルウェアスキャンを実行する
WordPressのセキュリティプラグイン（Wordfence、Sucuri Security等）でフルスキャンを実行してください。特に以下の点を重点的に確認します。
- `wp-content/plugins/smart-slider-3/` 内のファイルハッシュの整合性
- 不明な `.php` ファイルの存在（Webシェルの可能性）
- `wp-config.php` の改ざん有無
- データベース内の不審な管理者アカウントの追加
「自社のWordPressサイト、感染していないか不安」
Smart Slider 3のRAT混入に限らず、WordPressサイトのセキュリティ診断を専門チームが実施します。
※ 営業電話はしません ｜ オンライン対応可 ｜ 相談だけでもOK
対策：感染が疑われる場合の3ステップ
ステップ1：プラグインをクリーンバージョンに更新する
Nextendが公式にリリースしたクリーンバージョンに更新してください。単にプラグインを削除して再インストールするだけでは不十分です。RATがプラグインディレクトリ外にWebシェルを設置している可能性があるためです。
ステップ2：IOC（侵害指標）を確認する
Nextendおよびセキュリティ研究者が公開しているIOCと自社サーバーのログを照合してください。
- ファイルハッシュ: 混入バージョンのファイルハッシュ（SHA-256）がNextendのアドバイザリに掲載されています
- 通信先: RATのC2（コマンド&コントロール）サーバーのIPアドレス・ドメイン名
- ファイルパス: RATが設置する既知のWebシェルのファイル名
ステップ3：パスワードと認証情報を変更する
感染が確認された場合、以下のすべての認証情報を変更してください。
- WordPress管理者パスワード（全ユーザー分）
- データベースパスワード（`wp-config.php` に記載）
- FTP/SFTPパスワード
- サーバーのSSHキー
- 連携しているAPIキー（決済、メール配信等）
WordPressプラグインのサプライチェーンリスクとは
今回の事件は、「公式アップデート＝安全」という前提が崩れた典型的なサプライチェーン攻撃です。
なぜサプライチェーン攻撃が増えているのか
| 要因 | 詳細 |
|---|---|
| 効率性 | 1つのプラグインを侵害するだけで数十万サイトに一斉攻撃可能 |
| 信頼の悪用 | 公式チャネルからの配信のため、セキュリティツールが検知しにくい |
| 自動更新の普及 | 管理者の介入なしに感染が広がる |
WordPressサイト運営者が取るべき予防策
- 自動更新の範囲を制限する — マイナーアップデートは自動、メジャーアップデートは手動確認後に適用
- WAF（Webアプリケーションファイアウォール）を導入する — 不審な通信をサーバー到達前にブロック
- ファイル整合性監視を有効にする — プラグインファイルの予期しない変更を即座に検知
- バックアップを毎日取得し、オフサイトに保管する — 感染前の状態に復旧可能な体制を整える
- 管理画面へのアクセスをIP制限する — 攻撃者がRATを設置しても管理画面への侵入を阻止
よくある質問（FAQ）
Q1. Smart Slider 3を使っていない場合も影響がありますか？
いいえ。今回の影響はSmart Slider 3をインストールしているWordPressサイトに限定されます。ただし、サプライチェーン攻撃は他のプラグインでも発生し得るため、すべてのWordPressサイト運営者がプラグイン管理体制を見直す契機にしてください。
Q2. 自動更新を無効にしていた場合は安全ですか？
自動更新を無効にしていた場合、該当期間中に手動でSmart Slider 3を更新していなければ影響はありません。ただし、プラグイン一覧画面を開いた際に「更新」ボタンを押していないか念のため確認してください。
Q3. 無料版と有料版のどちらが影響を受けますか？
配布チャネルの侵害であるため、無料版・有料版の両方が影響を受ける可能性があります。有料版はNextend独自のアップデートサーバーから配信されるため、影響範囲が異なる場合があります。Nextendの公式アドバイザリで正確な対象バージョンを確認してください。
Q4. 社内にセキュリティ専門家がいない場合、どうすればよいですか？
外部のセキュリティ専門企業に相談することを推奨します。GXOでは中小企業向けのWordPressセキュリティ診断・インシデント対応支援を提供しています。
GXO実務追記: AI開発・生成AI導入で発注前に確認すべきこと
この記事のテーマは、単なるトレンド紹介ではなく、業務選定、データ整備、セキュリティ、PoCから本番化までの条件を決めるための検討材料です。検索で情報収集している段階でも、発注前に次の観点を整理しておくと、見積もりのブレ、手戻り、ベンダー依存を減らせます。
まず決めるべき3つの論点
| 論点 | 確認する内容 | 未整理のまま進めた場合のリスク |
|---|---|---|
| 目的 | 売上拡大、工数削減、リスク低減、顧客体験改善のどれを優先するか | 成果指標が曖昧になり、PoCや開発が終わっても投資判断できない |
| 範囲 | 対象部署、対象業務、対象データ、対象システムをどこまで含めるか | 見積もりが膨らむ、または重要な連携が後から漏れる |
| 体制 | 自社責任者、現場担当、ベンダー、保守運用者をどう置くか | 要件確認が遅れ、納期遅延や品質低下につながる |
費用・期間・体制の目安
| フェーズ | 期間目安 | 主な成果物 | GXOが見るポイント |
|---|---|---|---|
| 事前診断 | 1〜2週間 | 課題整理、現行確認、投資判断メモ | 目的と範囲が商談前に整理されているか |
| 要件定義 / 設計 | 3〜6週間 | 要件一覧、RFP、概算見積、ロードマップ | 見積比較できる粒度になっているか |
| PoC / MVP | 1〜3ヶ月 | 検証環境、効果測定、リスク評価 | 本番化判断に必要な数値が取れるか |
| 本番導入 | 3〜6ヶ月 | 本番環境、運用設計、教育、改善計画 | 導入後の運用責任と改善サイクルがあるか |
発注前チェックリスト
- [ ] AIで置き換える業務ではなく、成果が測れる業務を選んだか
- [ ] 参照データの所有者、更新頻度、権限、機密区分を整理したか
- [ ] PoC成功条件を精度、時間削減、CV改善、問い合わせ削減などで数値化したか
- [ ] プロンプトインジェクション、個人情報、ログ保存、モデル選定のルールを決めたか
- [ ] RAG/エージェントの回答を人が監査する運用を設計したか
- [ ] 本番化後の費用上限、API使用量、障害時フォールバックを決めたか
参考にすべき一次情報・公的情報
- 経済産業省 AI事業者ガイドライン関連情報
- デジタル庁 AI関連情報
- OpenAI Platform Documentation
- Anthropic Claude Documentation
- OWASP Top 10 for LLM Applications
上記の一次情報は、社内稟議やベンダー比較の根拠として使えます。一方で、公開情報だけでは自社の現行システム、業務フロー、データ状態、予算制約までは判断できません。記事で一般論を把握した後は、自社条件に落とした診断が必要です。
GXOに相談するタイミング
次のいずれかに当てはまる場合は、記事を読み進めるだけでなく、早めに相談した方が安全です。
- 見積もり依頼前に、要件やRFPの粒度を整えたい
- 既存ベンダーの提案が妥当か第三者視点で確認したい
- 補助金、AI、セキュリティ、レガシー刷新が絡み、判断軸が複雑になっている
- 社内稟議で費用対効果、リスク、ロードマップを説明する必要がある
- PoCや診断で終わらせず、本番導入と運用改善まで進めたい
【緊急】WordPress Smart Slider 3にサプライチェーン攻撃｜公式アップデートにRAT混入（4/7発覚）を自社条件で診断したい方へ
GXOが、現状整理、RFP/要件定義、費用対効果、ベンダー比較、導入ロードマップまで実務目線で確認します。記事の一般論を、自社の投資判断に使える形へ落とし込みます。
※ 初回相談では営業資料の説明よりも、現状・課題・判断材料の整理を優先します。
関連記事
参考情報
- Nextend「Smart Slider 3 Security Advisory — Supply Chain Compromise」（2026年4月7日）
- WordPress.org Plugin Directory「Smart Slider 3」
- JPCERT/CC「WordPressプラグインのサプライチェーン攻撃に関する注意喚起」
WordPressサイトのセキュリティ、専門家と一緒に強化しませんか？
GXO株式会社では、中小企業のWebサイトセキュリティを支援しています。
- WordPress セキュリティ診断 — プラグイン脆弱性・設定不備の可視化
- インシデント対応支援 — 感染サイトの調査・復旧・再発防止
- セキュリティ体制構築 — WAF導入、バックアップ体制、監視体制の設計
まずは現状のリスクを把握するところから始めませんか。
お問い合わせはこちら → gxo.co.jp/contact
GXOの導入事例はこちらでご確認いただけます。