2つのWordPressサイトを調査し、一方では不正なPHPファイルやWordPress構成ファイル、もう一方ではAdvanced Custom Fields関連のJSファイルを含む改ざんを確認しました。脆弱性条件に該当するプラグインの更新、不正ファイルの修正・削除、テーマ更新などを実施しています。
対応概要
| 項目 | 内容 |
|---|---|
| 対応サイト数 | 2サイト |
| 対応時期 | 2025年8月4日～8月8日 |
| WordPress | 両サイトとも6.8.2 |
| 主な不正ファイル | jsone.php、HWq9ce6ApNf.php、lhw1oYM7pPI.php、QUhI9lcm8Ts.php、ACF関連JSファイルなど |
| データ | 両サイトでwp_postsテーブルを確認・対応 |
| 確認された脆弱性 | Advanced Custom Fields、All in One SEO |
| 不正インデックス | 両サイトとも登録なし |
| 主な対応 | 不正ファイルの修正・削除、プラグイン更新、テーマ更新、プラグイン整理 |
調査で確認された内容
1つ目のサイトでは、WordPressの構成・コア関連ファイルに加え、ランダムな文字列を含むPHPファイルなどが不正改ざん検査の対象となりました。
2つ目のサイトでは、Advanced Custom Fieldsに関連する複数のJSファイルを含む改ざんを確認しました。また、Advanced Custom FieldsとAll in One SEOについて、調査時のバージョンが確認された脆弱性の対象条件に該当していました。
両サイトではデータベースのwp_postsテーブルも確認・対応しています。
サイトごとの調査・対応内容
サイト1
WordPress関連ファイルのほか、jsone.phpやランダムな文字列を含む複数のPHPファイルなどを確認し、削除または修正を実施しました。
WordPress本体のバージョンを確認したうえで、必要なプラグインとJINテーマを更新しています。不正インデックスの登録は確認されませんでした。
サイト2
Advanced Custom Fields関連のJSファイルを中心に、複数の改ざん対象ファイルを確認しました。
あわせてAdvanced Custom FieldsとAll in One SEOのバージョンを確認し、脆弱性への対応として更新を実施しました。その他のプラグインやJINテーマについても更新を行っています。不正インデックスの登録は確認されませんでした。
確認された不正ファイル
削除または修正の対象として、以下のファイルが確認されました。
| サイト | 確認されたファイル |
|---|---|
| サイト1 | wp-config.php、jsone.php、php.ini、wp-activate.php、wp-blog-header.php、wp-comments-post.php、wp-config-sample.php、wp-cron.php、wp-links-opml.php、wp-mail.php、wp-settings.php、wp-signup.php、wp-trackback.php、xmlrpc.php、l1_ZGVmYXVsdF9wYWdlLnBuZw1513308838.png、HWq9ce6ApNf.php、lhw1oYM7pPI.php、QUhI9lcm8Ts.php、footer.php |
| サイト2 | wp-config.php、acf-escaped-html-notice.js、acf-escaped-html-notice.min.js、acf-field-group.js、acf-field-group.min.js、acf-input.min.js、その他多数のJSファイル |
ファイルだけでなく、両サイトでwp_postsテーブルについても確認・対応を行いました。
確認された脆弱性
サイト2では、Advanced Custom FieldsとAll in One SEOが脆弱性の対象となるバージョンでした。
| プラグイン | 調査時バージョン | 確認された内容 |
|---|---|---|
| Advanced Custom Fields | 6.3.6.1 | 6.3.9未満がJVNDB-2024-024965の対象。情報取得、情報改ざん、サービス運用妨害（DoS）の影響が示されています |
| All in One SEO | 4.7.2 | 4.8.2未満がJVNDB-2025-006384の対象。情報取得および情報改ざんの影響が示されています |
今回の対応では、Advanced Custom Fieldsを6.4.3、All in One SEOを4.8.5へ更新しました。
実施したマルウェア駆除・復旧作業
- WordPressファイルおよびデータベースの不正改ざん検査
- 不正・改ざんファイルの削除または修正
wp_postsテーブルの確認・対応- 脆弱性が確認されたプラグインの更新
- その他必要なプラグイン・テーマの更新
- 未使用・不要プラグインの整理・削除
- 不正インデックス登録状況の確認
WordPress・プラグイン・テーマの確認・更新内容
両サイトともWordPress本体は6.8.2で、WordPress本体のバージョン変更は実施していません。
サイト1
| 対象 | 作業前 | 作業後 |
|---|---|---|
| Classic Editor | 1.6.5 | 1.6.7 |
| WP File Manager | 7.2.9 | 8.0.2 |
| JIN | 2.65 | 2.91 |
サイト2
| 対象 | 作業前 | 作業後 |
|---|---|---|
| Advanced Custom Fields | 6.3.6.1 | 6.4.3 |
| Akismet Anti-spam: Spam Protection | 5.3.3 | 5.5 |
| All in One SEO | 4.7.2 | 4.8.5 |
| Classic Editor | 1.6.5 | 1.6.7 |
| Customizer Export/Import | 0.9.7.3 | 0.9.8 |
| Defender | 4.10.1 | 5.4.1 |
| Really Simple Security | 9.0.2 | 9.4.3 |
JINテーマについても2.91への更新を実施しました。
不正インデックスへの対応
両サイトについて不正インデックスの登録状況を確認し、不正インデックスは確認されませんでした。
対応結果
2サイトそれぞれについて不正改ざん箇所を調査し、対象となったファイルやデータへの対応を実施しました。あわせて、脆弱性が確認されたプラグインを含むWordPress環境の更新・整理を行っています。
サイトごとに改ざんされていたファイルの種類が異なっていたため、それぞれの調査結果に合わせて駆除・復旧作業を行いました。
再発防止について
WordPressのマルウェア対策では、本体・プラグイン・テーマを適切に更新し、既知の脆弱性を残さないことが重要です。また、定期的なバックアップとファイル改ざん・マルウェア検査を行うことで、異常を早期に確認しやすくなります。
利用しているプラグインに脆弱性情報が公開された場合は、対象バージョンを確認し、修正版への更新を進める必要があります。
WordPressのマルウェア感染でお困りの方へ
救急WEBでは、WordPressのマルウェア駆除、サイト改ざんの調査・復旧、不正ファイルの削除・修正、脆弱性の確認、不正リダイレクトや不正インデックスへの対応を行っています。
不正ファイルだけを削除するのではなく、WordPress本体・プラグイン・テーマの状態も確認し、案件ごとの調査結果に応じて復旧後のセキュリティ対策まで対応しています。