Advanced Custom Fields改ざんで表示崩れが発生したWordPressマルウェア駆除事例

Advanced Custom Fieldsの改ざんによってWebサイトの表示崩れと画像更新不可が発生したWordPressサイトに対し、マルウェア駆除と復旧作業を実施しました。複数の不正ファイルを削除し、改ざんされたwp-config.phpの修正、プラグインの入れ替え・更新を行っています。

対応概要

項目	内容
対応サイト数	1サイト
対応時期	2024年10月17日
WordPress	6.6.2
主な問題	Advanced Custom Fieldsの改ざんによる表示崩れ、画像更新不可
不正ファイル	複数の不正PHPファイルと、大量の不正ファイルが格納されたフォルダを確認
設定ファイル	wp-config.phpの改ざん箇所を修正
不正インデックス	なし
主な対応	不正ファイル削除、Advanced Custom Fieldsの入れ替え、プラグイン更新

マルウェア感染が拡大し、プラグイン「Advanced Custom Fields」が改ざんされていました。この影響によりWebサイトの表示崩れが発生したほか、「発行カレンダー」「救急当番医」で使用する画像を更新できない状態となっていました。

不正改ざん検査では複数のPHPファイルを確認したほか、wp-config.phpにも改ざんがありました。また、「well-known」「pe」フォルダ内には大量の不正ファイルが格納されていました。

確認した不正ファイルと対応内容は以下の通りです。

確認対象	対応
js.php	削除
jsonq.php	削除
mlr.php	削除
index.php	削除
login.php	削除
LQRcCmwJp8f.php	削除
mnaligxtswy.php	削除
qlsvepgoztb.php	削除
wp-update.php	削除
wp-config.php	改ざん箇所を修正
「well-known」「pe」フォルダ内の大量の不正ファイル	削除

調査時には、以下のプラグインについて既知の脆弱性情報を確認しました。

プラグイン	調査時バージョン	確認された内容
Advanced Custom Fields	6.3.6	JVNDB-2024-004371。6.3未満の場合、情報を改ざんされる可能性
All-in-One WP Migration	7.86	JVNDB-2022-012711。7.63未満の場合、情報の取得および改ざんの可能性
Snow Monkey Forms	8.0.0	JVNDB-2023-000067。v5.1.1およびそれ以前の場合、遠隔の第三者によってサーバ上の任意ファイルを削除される可能性

また、zipaddr-jp 1.38は最終更新から9か月が経過しており、最新のWordPressとの互換性がなく、脆弱性を突かれるリスクがあるプラグインとして確認しました。

実際に更新したプラグインは以下の通りです。

対象	作業前	作業後
Advanced Custom Fields	6.3.6	6.3.63
All-in-One WP Migration	7.86	7.87

WordPress本体は6.6.2で、変更は実施していません。

改ざんされていたAdvanced Custom Fieldsを入れ替えたことで、Webサイトの表示崩れは解消しました。「発行カレンダー」「救急当番医」で画像を更新できない事象についても、同じプラグインの入れ替えを実施しています。

あわせて、不正ファイルの削除、設定ファイルの修正、必要なプラグインの更新を実施し、WordPressのマルウェア駆除・復旧作業を行いました。

WordPressでは、本体だけでなくプラグインの更新状況や互換性を継続的に確認することが重要です。定期的なバックアップ、マルウェア検査、公開された脆弱性情報への対応を組み合わせ、古い状態を長期間残さない運用が再発防止につながります。

救急WEBでは、WordPressのマルウェア駆除、サイト改ざんの復旧、不正ファイルの調査・削除、不正リダイレクトや不正インデックスへの対応、復旧後のセキュリティ対策まで対応しています。

不審なファイルが見つかった場合や、表示崩れ・管理機能の異常などが発生している場合は、サイト内の改ざん状況を確認したうえで必要な駆除・復旧作業を行います。