「WordPressサイトが改ざんされてしまったので調査してほしい」、続けて「サイトに不審な挙動があるので確認してほしい」というご相談をいただき、直近で2件のWordPressインシデント調査を行いました。
この記事では、お客様・サイト・攻撃につながる具体的な情報は掲載せず、調査を通して改めて感じた大切なポイントを共有します。サイトで問題を見つけたとき、あわててファイルを削除したり更新したりする前に、まず何を確認するかの参考になれば幸いです。
1件目の学び：Webサイトのログは、少なくとも1か月以上保存する
1件目は、サイトの改ざんをきっかけに、サーバー内の不審なPHPファイルを調査した案件です。
調査では、複数のウェブシェル（攻撃者がサーバーを遠隔操作するために設置する不正なプログラム）と、改ざんされたPHPファイルを確認しました。設置箇所やファイルの特性を整理し、影響範囲を見極めながら、証拠を保全したうえで優先して対応すべき内容を整理しました。
一方で、Webアクセスログの保存期間は約1週間でした。改ざんに気付いた時点では、確認したい時期の記録がほとんど残っておらず、侵入の起点や改ざんまでの経緯を十分に追うことができませんでした。不審なファイルを見つけられても、「いつ・どこから・何をきっかけに」入られたかを記録で裏付けられないと、根本原因の特定と再発防止が難しくなります。
ログは、トラブルが起きてから増やすことができません。Webアクセスログ、エラーログ、WAFの検知記録、認証に関する記録は、容量や個人情報の取扱いを確認しながら、少なくとも1か月以上を目安に保存しておくことをおすすめします。保存先を分けておくことや、いざというときに誰が確認するかを決めておくことも大切です。
また、調査中は不審なファイルをすぐ削除するのではなく、まずパス・更新日時・サイズ・内容の記録を保全します。証拠を残してから影響範囲を確認することで、必要な対策を見誤りにくくなります。
2件目の学び：脆弱性情報を見逃さず、WordPress本体・テーマ・プラグインを更新できる状態にしておく
2件目は、WordPressを標的とした不審なアクセスを調査した案件です。調査した記録では、2026年7月17日に公表されたWordPress本体の脆弱性を組み合わせる攻撃を狙ったアクセスを確認しました。
この攻撃は、公開情報では「WP2Shell」と呼ばれることもある攻撃連鎖です。WordPress公式は、SQLインジェクションに関する CVE-2026-60137と、REST APIの一括処理（Batch）に関する CVE-2026-63030を組み合わせると、遠隔からのコード実行につながり得ると案内しています。特に後者は深刻度「Critical」とされ、WordPress 6.9.0〜6.9.4 および 7.0.0〜7.0.1 が影響を受けます。修正版は WordPress 6.9.5、7.0.2 です。
今回確認したのは、あくまで脆弱性を狙ったアクセスです。検知・遮断の記録だけで侵害成功を断定することはできませんが、脆弱性が公表されると短期間で自動化された攻撃の対象になることを改めて感じました。
WordPress本体だけでなく、テーマやプラグインの脆弱性も攻撃に利用されます。普段から不要なテーマ・プラグインを見直し、利用中のものは更新情報を確認して、更新できる状態を維持することが重要です。
自動更新は有効な選択肢です。とくにWordPress本体のセキュリティ更新は、自動更新を有効にすることを検討しましょう。ただし、更新前に復元できるバックアップを確保し、更新後にはサイト表示・お問い合わせフォーム・管理画面を確認する運用もセットで用意します。テーマやプラグインは、互換性を確かめたうえで自動更新を使うか、更新通知を受け取って定期的に反映するかを決めておくと安心です。
今回触れた脆弱性については、WordPress公式のセキュリティリリースと、IPAの注意喚起をご確認ください。
困ったときは、早めの状況整理を
「サイトの表示がいつもと違う」「見覚えのないファイルがある」「不審なログイン通知が届いた」など、何が起きているか分からない段階でも、あわてて削除や更新を行う前に、まず状況を整理することが重要です。
でんし組では、もしもの時のセキュリティ事故調査として、WebサイトやPCで発生したセキュリティ事故について、現状・原因・影響範囲の確認と、優先順位を付けた対応方針の整理をお手伝いしています。調査範囲や必要な対応は状況によって異なりますので、まずはお気軽にお問い合わせください。
