INCIDENT / 2026-10-21
ティエスエスリンク WordPressプラグインの脆弱性悪用によるウェブサイトへの不正アクセスで問い合わせ情報・サポートサイト認証情報が漏えいした可能性
ティエスエスリンクが外部委託で運用するウェブサイトのWordPressプラグインの脆弱性が悪用され、2026年6月12日から10月13日にかけて不正アクセスが発生。問い合わせ・評価版申し込み情報約160件と製品サポートサイト認証情報約250件が漏えいした可能性がある。
概要
対象は企業サイト、製品サポートサイト、評価版ダウンロードサイト、製品ヘルプサイト。10月13日に判明し、10月21日に公表。漏えいの可能性がある情報は、問い合わせ/評価版申し込みフォームの入力内容約160件（氏名、メールアドレス、電話番号、会社名/部署名、保守ユーザーID、評価版申し込み製品、問い合わせ内容、添付ファイル）と、製品サポートサイトの認証情報約250件（ユーザーID、ログイン用パスワード）。公開中のWebページや配布モジュールの改ざんは現時点で確認されておらず、確認できる範囲では不審なメール送信も確認されていない。製品自体に起因する問題ではないとしている。
経緯
経緯情報は未登録です。
原因
外部委託で運用しているウェブサイトの管理・運用に使っていたWordPressプラグインの脆弱性を第三者に悪用され、不正アクセスを受けた。
攻撃手法
公表情報で確認できる攻撃手法はありません（推測による割り当ては行っていません）。
影響範囲
漏洩した情報
- 可能性あり問い合わせ/評価版申し込みフォームの入力内容 約160件（氏名、メールアドレス、電話番号、会社名/部署名、保守ユーザーID、評価版申し込み製品、問い合わせ内容、添付ファイル）
- 可能性あり製品サポートサイトの認証情報 約250件（ユーザーID、ログイン用パスワード）
問い合わせ情報約160件とサポートサイト認証情報約250件が漏えいした可能性がある。Webページと配布モジュールの改ざんや、不審なメール送信は確認されていない。
対応
不正な管理者アカウント、不正ファイル、悪用されたプラグインなどを削除し、既知の侵入経路を封じ込めた。今後はサイトの管理・運用体制を見直し、委託先への監督を強化する。
- 不正な管理者アカウント・不正ファイル・悪用されたプラグインの削除
- 既知の侵入経路の封じ込め
- 公開中のWebページ・配布モジュールの照合
- 外部委託先への指揮・監督とセキュリティ管理状況の確認の強化
- 脆弱性対応、認証・ログ管理、インシデント対応体制の見直し
教訓・対策
- WordPressプラグインの脆弱性を継続的に管理し、速やかに更新する必要がある
- 外部委託先が運用するウェブサイトでも、委託元が監督し、セキュリティ状況を確認する必要がある
- 長期間の侵入に早く気づけるよう、ログ管理と監視が重要である
参考資料
関連情報
関連するCVE
関連付けられたCVEはありません。
関連組織
関連するインシデント
関連付けられたインシデントはありません。