WordPressの改ざんを確認する方法：ハッキングの兆候とそれぞれの調べ方

WindowsMac更新

WordPressのハッキングに関するFAQ（英語版）は、許可していない新しいユーザーの作成を、はっきりした改ざんの兆候の一つに挙げています。ほかにも、GoogleやBingのブラックリストへの登録、サーバー会社によるサイトの停止、閲覧者のウイルス対策ソフトによる警告などが並びます。GoogleのSearch Consoleは、不正なリダイレクトや、ハッカーが追加したスパムのテキストやページを挙げています。多くは管理画面とSearch Consoleで確認できます。

要点

「ユーザー」>「ユーザー一覧」で「管理者」に絞り込み、作った覚えのないアカウントがないか見ます。Search Consoleの［セキュリティの問題］レポートで、Googleが検出した改ざんやスパム、悪意のあるコードを確認します。「固定ページ一覧」と「投稿一覧」で書いた覚えのないページを探し、.htaccess、index.php、header.php、footer.phpが変わっていないかも確かめてください。

WordPressは何を改ざんの兆候としていますか

WordPressのFAQ（英語版）は、これを「Indicators of Compromise」（侵害の兆候）と呼び、はっきりした兆候として次を挙げています。

  • GoogleやBingなどのブラックリストに載っている
  • サーバー会社がサイトを停止した
  • マルウェアを配布しているとして警告されている
  • 閲覧者から、ウイルス対策ソフトがサイトを警告していると言われた
  • サイトがほかのサイトへの攻撃に使われていると連絡を受けた
  • 新しいユーザーの作成など、許可していない動きがある
  • ブラウザでサイトを開くと、改ざんが目で見てわかる

同じFAQは、ハッキングにもいろいろな種類があると書いています。Googleのヘルプによると、ハッカーはサイト所有者に見つからないよう、クローキングという手法でスパムを隠す場合があります。自分で開いて普通に見えても、それだけでは安心できません。

見覚えのない管理者がいないか確認するには

「ユーザー」画面にはすべてのアカウントが並び、表の上のリンクで権限グループごとに絞り込めます。まず管理者から確認します。WordPressの「WordPress の安全性を高める」は、管理アカウントにアクセスできるようになったハッカーは、サーバー全体を危険にさらしかねない悪意のあるスクリプトをインストールできてしまう、と書いています。

  1. 管理画面で「ユーザー」>「ユーザー一覧」を開きます。
  2. 表の上にある「管理者」のリンクをクリックします。
  3. 各アカウントの「ユーザー名」「名前」「メールアドレス」を確認します。心当たりのないものがあれば、気づいた日時と一緒にメモします。
  4. 「すべて」をクリックして、ほかの権限グループも見ておきます。
  5. 「設定」>「一般」で「メンバーシップ」と「新規ユーザーのデフォルト権限」を確認します。WordPressの説明では、新しく登録したユーザーに自動で与える権限として「管理者」も選べるようになっています。

削除する前に記録してください。WordPressのFAQ（英語版）は、侵害のあと最初にとるべき行動は記録だとしています。

リダイレクトの改ざんを見つけるには

Search Consoleの［セキュリティの問題］レポートは「コード インジェクション」を挙げ、ハッカーがサイトを侵害してページに悪意のあるコードを注入している状態だと説明しています。例として挙げているのが、悪意のあるサイトへのリダイレクトです。WordPressの「FAQ ハッキングされた場合は」は、不正転送はサイトのルートにある .htaccess ファイルや index.php ファイルなどで見つかる、としています。

  1. Search Consoleで［セキュリティの問題］レポートを開きます。問題を展開すると、影響を受けているURLの例と、初めて検出された日付が表示されます。
  2. FTPかSFTPでサーバーに接続し、WordPressのフォルダにある .htaccess を開きます。自分で加えていない行がないか確認します。
  3. ほかのフォルダも見ます。WordPressのFAQ（英語版）によると、.htaccess は通常インストール先のルートにありますが、ほかのディレクトリに置かれている場合もあります。

サイト内のスパムページを見つけるには

Googleは2つの種類を挙げています。「コンテンツ インジェクション」は、ハッカーがサイトのページにスパムのリンクやテキストを追加したものです。「URL インジェクション」は、ハッカーがサイト上に新しいページを作成しているものです。

  1. 「固定ページ」>「固定ページ一覧」を開きます。WordPressの説明では、一覧は新しい固定ページが先頭に表示され、「作成者」と「日時」の列があります。上のほうに覚えのないタイトルがないか見ます。
  2. 表の上の「下書き」「非公開」などのリンクで、公開されていないページも確認します。
  3. スパムに含まれていた言葉を検索ボックスに入れ、「固定ページを検索」をクリックします。
  4. 「投稿」>「投稿一覧」でも同じことをします。
  5. 見つけたものを、［セキュリティの問題］レポートにあるURLの例と照らし合わせます。

Googleの警告は何を意味しますか

Googleが、訪問者やそのパソコンに害が及ぶおそれのある問題をサイトで見つけた、ということです。Googleは、影響を受けたページには検索結果に警告ラベルが付いたり、アクセスしようとするとブラウザに警告ページが表示されたりする、と説明しています。WordPressの「FAQ ハッキングされた場合は」によると、警告には大きな警告ページで近づかないよう知らせるものから、検索結果に小さく出るものまであります。GoogleのほかにBingやYahoo、さまざまなウイルス対策ソフトもブラックリストを持っています。

  1. Search Consoleで［セキュリティの問題］レポートを開きます。問題がなければ、緑色のチェックマークが表示されます。
  2. 問題ごとに展開し、URLの例、初めて検出された日付、詳細へのリンクを確認します。
  3. BingのWebmaster Toolsにも登録しておきます。WordPressのFAQ（英語版）は、Bingを含む各ウェブマスターツールにサイトを登録するよう勧めています。

警告を消すための修正と審査のリクエストの手順は、ホームページが改ざんされたときの対処法で説明しています。

変更されたファイルを確認するには

ファイルの変更は管理画面には表示されません。「WordPress の安全性を高める」は、攻撃があれば必ず痕跡が残り、それはログか、新しいファイルや変更されたファイルといったファイルシステムの中だ、としています。「FAQ ハッキングされた場合は」は、wp-content/themes ディレクトリ内の index.php、header.php、footer.php、functions.php を狙うウイルスがあると書いています。

  1. スキャンします。WordPressのFAQ（英語版）は、WordPress.orgのプラグインと外部のスキャナーを挙げ、どれか一つが最善というわけではないが、組み合わせれば見つかる可能性が大きく上がる、と書いています。
  2. FTPかSFTPで、これらのファイルと .htaccess を、問題が起きる前のバックアップと比べます。
  3. サーバー会社からログを入手できるなら確認します。「WordPress の安全性を高める」によると、ログではブルートフォース攻撃の履歴や、テーマ・プラグインエディタがいつ使われたかがわかります。
  4. 自分のパソコンもスキャンします。WordPressのFAQ（英語版）は、攻撃がサイト所有者のパソコンから始まることも多く、FTPや管理画面のログイン情報を盗み取るトロイの木馬が使われる、と書いています。「FAQ ハッキングされた場合は」も、ローカルコンピュータでウイルスとマルウェアのフルスキャンを必ず実行するよう求めています。

どれかで何か見つかったら、見たものと日時を記録し、ホームページが改ざんされたときの対処法に進んでください。サーバー会社への連絡、パスワードの変更、身に覚えのないユーザーの削除、きれいなバックアップ、Googleの審査までを順番に説明しています。

よくある質問

見た目に変化がなくても改ざんされていることはありますか

あります。Googleは、ハッカーがサイト所有者に見つからないよう、クローキングでスパムを隠す場合があるとしています。WordPressのFAQ（英語版）も、ハッキングにはいろいろな種類があるとしています。サイトが普通に見えても、［セキュリティの問題］レポートとファイルのスキャンを確認しておく価値があります。

見覚えのない管理者はすぐに削除すべきですか

先に記録してください。WordPressのFAQ（英語版）は記録を最初の行動とし、掃除を始める前に、感染した状態でもサイトのスナップショットをもう一つ取っておくよう勧めています。削除と全員のパスワードのリセットの順番は、対処法のガイドで説明しています。

WordPressにログインできなくなったら

WordPressのFAQ（英語版）は、攻撃者が管理者アカウントを乗っ取ることがあるとしています。パスワードをリセットするか、サーバー会社が用意しているphpMyAdminなどのツールでデータベースに直接ログインし、ユーザーテーブル wp_users のユーザーをリセットできます。簡単な方法として、そこでメールアドレスを更新し、ログイン画面の「パスワードをお忘れですか ?」をクリックしてメールを待つ方法も挙げています。

PHP2Shellのせいで改ざんされたのですか

そうとは限りません。PHP2ShellはPHPの2件の脆弱性で、PHPプロジェクトは2026年10月21日に修正版を出しました。2026年10月23日時点で、米国のCISAは10月21日の注意喚起（10月23日改訂）で、公開した時点ではこれらの脆弱性が実環境で悪用に成功した例を観測していないとしています。サイトのPHPバージョンの確認方法とPHP2Shellの解説もご覧ください。

WordPressを更新すれば改ざんは消えますか

それだけでは消えません。「FAQ ハッキングされた場合は」は、サイトがきれいになってから最新版に更新し、すべてきれいになったあとでもう一度パスワードを変更するよう書いています。英語版のFAQは、古いバージョンほどハッキングされやすいとしています。

出典