Wikipedia（Meta-Wiki）で自己増殖型のJavaScriptワームによる改ざん被害が発生-休眠コードの誤実行が発端か|セキュリティとITのニュース-セキュリティ対策Lab

投稿日時: 2026年03月09日更新日時: 2026年03月09日

Wikimedia Foundationは2026年3月5日、ユーザー作成コードのセキュリティレビュー中に休眠状態だった悪性コードを誤って有効化し、Meta-Wikiでページ削除などの影響が出たと公表しました。悪性コードの稼働時間は23分間で、拡散防止のためWikimedia各プロジェクトを約2時間読み取り専用にし、ユーザーJavaScriptも一時的に無効化したと説明しています。Wikimediaは、影響を受けたページは復元済みで、恒久的な被害はないとみており、Wikipedia本体が攻撃を受けていたり、個人情報が侵害されたりした証拠はないとしています。

1 どこが問題だったのか
2 影響範囲
3 技術的に何が危険だったのか
4 情シスが学ぶべきポイント

どこが問題だったのか

今回の本質は、外部からゼロデイで侵入されたというより、Wiki上で動作可能なユーザー作成JavaScriptの仕組みが、権限を持つ利用者のブラウザ実行を足場にして自己増殖的に悪用された点にあります。

BleepingComputerの分析では、悪性コードはログイン中の利用者の common.js と、広く利用される MediaWiki:Common.js にローダーを書き込むことで広がる構造だったとされています。MediaWiki系では、こうしたJavaScriptが利用者のブラウザ上で実行され、UIの拡張や作業支援に使われるため、便利さと引き換えに強い権限を持ちやすい設計です。

感染の原因

公式の説明は、セキュリティレビュー中に休眠していた悪性コードを誤って起動したというものです。

一方、BleepingComputerとPhabricator上の公開議論では、ロシア語版Wikipedia上に置かれていた悪性スクリプトが実行され、Meta上でのグローバルJavaScript編集と結びついて拡散した可能性が指摘されています。Phabricatorの議論では、Meta上で他ユーザーのスクリプトを読み込むテスト中に問題のコードが実行されたとの見方が共有されていましたが、これは公開議論ベースの分析であり、Wikimediaの正式な最終報告ではありません。

影響範囲

ここで注意したいのは、初期報道と公式説明の間に見え方の差がある点です。BleepingComputerは編集履歴の分析から、約3,996ページが変更され、約85人の利用者の common.js が置き換えられたと報じました。

これに対してWikimediaの公式ページは、確認された影響をMeta-Wiki上のページ削除に限定し、復元済みであると説明しています。つまり、外部観測では自己増殖型ワームとしてかなり広く見えた一方、公式には被害の確定範囲をMeta-Wiki中心に絞っている構図です。現時点では、広がりの全体像は外部分析と公式説明を分けて読む必要があります。

技術的に何が危険だったのか

今回の悪性コードは、単にページを荒らすだけでなく、閲覧した利用者の権限を使って別のJavaScript設定へ書き込みを試みる点が危険でした。BleepingComputerによれば、悪性スクリプトはランダムページを取得して改ざん用のコードを差し込み、さらに利用者個別の common.js とサイト共通の MediaWiki:Common.js の両方に持続化を狙っていました。つまり、サーバー側のマルウェアというより、信頼されたカスタマイズ機能を悪用してブラウザ実行経由で連鎖するワームに近い動きです。

情シスが学ぶべきポイント

この事案は、ユーザー拡張やスクリプト許可を前提にした業務基盤の怖さをよく示しています。社内ポータル、ローコード基盤、ブラウザ拡張、RPA補助スクリプト、管理画面のカスタムJSなどは、運用の利便性を上げる一方で、正規機能の顔をした高権限コード実行面になります。今回Phabricatorでは、サイト全体のJS/CSS編集やユーザーJS/CSS編集に、より強いセキュリティ制御を求める議論が改めて出ています。企業システムでも同じで、便利だから許可するではなく、誰が、どこに、どの権限で、どんなコードを入れられるかを棚卸ししないと、内部機能そのものが感染経路になります。

参照

Wikipedia hit by self-propagating JavaScript worm that vandalized pages

The wikis are currently read-only