7つのWordPressサイトを対象に、マルウェア感染・サイト改ざんの調査と復旧作業を実施しました。複数サイトで不正インデックスが確認されたほか、サイトC・E・Fでは不正ファイルを確認。特にサイトEでは、AliyunPage.HTMLやyang.phpなどが複数のディレクトリに配置されていました。 マルウエア駆除レポート65 マルウエア駆除レポート65
対応概要
| 項目 | 内容 |
|---|---|
| 対応サイト数 | 7サイト |
| 対応時期 | 2026年1月27日 |
| 主な不正ファイル | AliyunPage.HTML、yang.php、wp-logln.php、fedex.HTML、Goodphp.php、turbinn配下のPHPファイルなど |
| WordPress | 4.4.33、5.3.20、5.8.12、6.0.11、6.8.3などから6.9へ更新。一部サイトは6.9のまま |
| 主なプラグイン対応 | 脆弱性情報が確認された複数プラグインを更新・削除 |
| 不正インデックス | 7サイトすべてで確認し、削除申請を実施 |
| その他 | テーマ更新、不正ファイルの削除・修正、プラグイン整理 |
WordPress本体は、サイトBで5.8.12、サイトCで5.3.20、サイトDで6.8.3、サイトEで6.0.11、サイトGで4.4.33から6.9へ更新しています。 マルウエア駆除レポート65 マルウエア駆除レポート65 マルウエア駆除レポート65 マルウエア駆除レポート65 マルウエア駆除レポート65
調査で確認された内容
7サイトを調査したところ、サイトA・B・D・Gでは、サーバー会社から提供された不正ファイル一覧に含まれるファイルは調査時点ですでに削除されていました。一方、サイトC・E・Fでは、削除または修正の対象となる不正ファイルが確認されています。 マルウエア駆除レポート65 マルウエア駆除レポート65 マルウエア駆除レポート65 マルウエア駆除レポート65 マルウエア駆除レポート65 マルウエア駆除レポート65 マルウエア駆除レポート65
また、Custom Field Suite、Intuitive Custom Post Order、MW WP Form、UpdraftPlus、Advanced Custom Fields PRO、All-in-One WP Migration and Backup、All in One SEO、BackWPup、Duplicator、Custom Field Templateなどについて脆弱性情報が確認されており、対象サイトで更新や削除を実施しました。 マルウエア駆除レポート65 マルウエア駆除レポート65
サイトごとの調査・対応内容
サイトA
サーバー会社から提供された不正ファイル一覧に含まれるファイルは、調査時にはすでに削除されていました。
WordPress本体は6.9で変更せず、Advanced Custom Fields PRO、All in One SEO、All-in-One WP Migration and Backup、Contact Form 7、Intuitive Custom Post Order、MW WP Form、UpdraftPlusなどを更新しました。不正インデックスも確認され、削除申請を行っています。 マルウエア駆除レポート65 マルウエア駆除レポート65 マルウエア駆除レポート65
サイトB
不正ファイル一覧に含まれるファイルはすでに削除されていました。WordPress本体を5.8.12から6.9へ更新し、Custom Field Suiteは削除。Intuitive Custom Post Order、MW WP Formを含む複数のプラグインも更新しました。
不正インデックスについては削除申請を実施しています。 マルウエア駆除レポート65 マルウエア駆除レポート65
サイトC
turbinnディレクトリ内にantibot.php、config.php、index.phpがあり、このほか同ディレクトリ内のファイル一式が削除・修正対象となりました。
WordPress本体は5.3.20から6.9へ更新。All in One SEO、All-in-One WP Migration、BackWPup、Duplicator、Intuitive Custom Post Orderなども更新し、不正インデックスの削除申請を実施しました。 マルウエア駆除レポート65 マルウエア駆除レポート65
サイトD
サーバー会社が抽出した不正ファイルは調査時にすでに削除されていました。WordPress本体を6.8.3から6.9へ更新し、Advanced Custom Fields、UpdraftPlusなどのプラグインも更新しました。
不正インデックスについても削除申請を実施しています。 マルウエア駆除レポート65 マルウエア駆除レポート65
サイトE
複数のディレクトリからAliyunPage.HTML、yang.php、wp-logln.php、fedex.HTML、Goodphp.phpなどが確認されました。WordPress本体も6.0.11から6.9へ更新しています。
All in One SEO、All-in-One WP Migration、Intuitive Custom Post Order、MW WP Form、UpdraftPlusなどを更新し、Custom Field Suiteは削除しました。不正インデックスについても削除申請を行っています。 マルウエア駆除レポート65 マルウエア駆除レポート65 マルウエア駆除レポート65
サイトF
index.phpのほか、turbinn配下のantibot.php、config.php、index.phpなどが削除・修正対象となりました。
WordPress本体は6.9のまま変更せず、Yoast SEOを26.6から26.8へ更新。不正インデックスの削除申請も実施しています。 マルウエア駆除レポート65 マルウエア駆除レポート65
サイトG
サーバー会社から提供された不正ファイル一覧に含まれるファイルはすでに削除されていました。
WordPress本体を4.4.33から6.9へ更新し、カスタムフィールドテンプレートを2.3.5から2.7.7へ更新。テーマTwenty Sixteenも1.1から3.7へ更新しました。不正インデックスについては削除申請を実施しています。 マルウエア駆除レポート65
確認された不正ファイル
不正ファイルが実際に削除・修正対象として確認されたのは、主にサイトC・E・Fです。
| サイト | 配置場所・不正ファイル |
|---|---|
| サイトC | turbinn/antibot.php、turbinn/config.php、turbinn/index.php、その他turbinn内一式 |
| サイトE | index.php、pr/AliyunPage.HTML、pr/yang.php、don/AliyunPage.HTML、don/yang.php、don/wp-logln.php、don/fedex.HTML |
| サイトE | on/AliyunPage.HTML、baba/AliyunPage.HTML、263/263.HTML、cnaa/AliyunPage.HTML、aliyun/AliyunPage.H |
| サイトE | vine2/Goodphp.php、cons/yang.php、ali/yang.php、china1/fedex.HTML、cn配下など |
| サイトF | index.php、turbinn/antibot.php、turbinn/config.php、turbinn/index.php、その他turbinn内一式 |
サイトEでは、同じ名称のAliyunPage.HTMLやyang.phpが複数の異なるディレクトリに配置されていた点が特徴的でした。 マルウエア駆除レポート65 マルウエア駆除レポート65 マルウエア駆除レポート65
確認された脆弱性
調査時に使用されていたバージョンと、確認された主な脆弱性情報を整理すると次のとおりです。
| プラグイン | 調査時バージョン | 確認された内容 |
|---|---|---|
| Custom Field Suite | サイトB：2.6、サイトE：2.6.2.1 | 2.6.5未満。JVNDB-2024-018337 |
| Intuitive Custom Post Order | サイトA・B・E：3.1.3、サイトC：3.1.2 | 3.1.3以前。JVNDB-2023-026709 |
| MW WP Form | サイトA・B・E：5.0.3 | 5.0.6以前。JVNDB-2024-002769 |
| UpdraftPlus | サイトA：1.16.62、サイトE：1.23.3 | 1.23.10以前。JVNDB-2023-016849 |
| Advanced Custom Fields PRO | サイトA：5.8.8 | 6.3.5以前。JVNDB-2024-000093 |
| All-in-One WP Migration and Backup | サイトA：7.67、サイトC：7.55、サイトE：7.7 | 7.87未満。JVNDB-2024-011167 |
| All in One SEO | サイトA：4.3.9、サイトB：4.1.4.5、サイトC：4.1.6.2、サイトE：4.2.9 | 4.8.2未満。JVNDB-2025-006384 |
| BackWPup | サイトC：3.8.0 | 4.0.4未満。JVNDB-2023-028590 |
| Duplicator | サイトC：1.4.4 | 1.5.7.1未満。JVNDB-2023-024781 |
| Custom Field Template | サイトG：2.3.5 | 2.5.8未満。JVNDB-2022-004055 |
脆弱性情報としては、このほかContact Form 7についてJVNDB-2026-001793も確認されており、サイトAでは5.4.2から6.1.4へ更新しています。 マルウエア駆除レポート65 マルウエア駆除レポート65
実施したマルウェア駆除・復旧作業
- WordPressサイトの不正改ざん検査
- 確認された不正ファイルの削除・修正
- WordPress本体の更新
- 脆弱性情報が確認されたプラグインを含む各種プラグインの更新
- 必要なプラグインの削除・整理
- テーマの更新
- 不正インデックスの確認と削除申請
WordPress・プラグイン・テーマの確認・更新内容
WordPress本体
| 対象 | 作業前 | 作業後 |
|---|---|---|
| サイトB | 5.8.12 | 6.9 |
| サイトC | 5.3.20 | 6.9 |
| サイトD | 6.8.3 | 6.9 |
| サイトE | 6.0.11 | 6.9 |
| サイトG | 4.4.33 | 6.9 |
サイトAとサイトFのWordPress本体は6.9で、変更は実施していません。 マルウエア駆除レポート65 マルウエア駆除レポート65 マルウエア駆除レポート65 マルウエア駆除レポート65 マルウエア駆除レポート65 マルウエア駆除レポート65 マルウエア駆除レポート65
主なプラグイン更新
| 対象 | 作業前 | 作業後 |
|---|---|---|
| サイトA：Advanced Custom Fields PRO | 5.8.8 | 6.7.0.2 |
| サイトA：All in One SEO | 4.3.9 | 4.9.3 |
| サイトA：All-in-One WP Migration and Backup | 7.67 | 7.101 |
| サイトA：Contact Form 7 | 5.4.2 | 6.1.4 |
| サイトA：Intuitive Custom Post Order | 3.1.3 | 3.2.0 |
| サイトA：MW WP Form | 5.0.3 | 5.1.0 |
| サイトA：UpdraftPlus | 1.16.62 | 1.26.1 |
| サイトB：All in One SEO | 4.1.4.5 | 4.9.3 |
| サイトB：Custom Field Suite | 2.6 | 削除 |
| サイトB：Intuitive Custom Post Order | 3.1.3 | 3.2.0 |
| サイトB：MW WP Form | 5.0.3 | 5.1.0 |
| サイトC：All in One SEO | 4.1.6.2 | 4.9.3 |
| サイトC：All-in-One WP Migration | 7.55 | 7.101 |
| サイトC：BackWPup | 3.8.0 | 5.6.3 |
| サイトC：Duplicator | 1.4.4 | 1.5.14 |
| サイトC：Intuitive Custom Post Order | 3.1.2 | 3.2.0 |
| サイトE：All in One SEO | 4.2.9 | 4.9.3 |
| サイトE：All-in-One WP Migration | 7.7 | 7.101 |
| サイトE：Custom Field Suite | 2.6.2.1 | 削除 |
| サイトE：Intuitive Custom Post Order | 3.1.3 | 3.2.0 |
| サイトE：MW WP Form | 5.0.3 | 5.1.0 |
| サイトE：UpdraftPlus | 1.23.3 | 1.26.1 |
| サイトF：Yoast SEO | 26.6 | 26.8 |
| サイトG：カスタムフィールドテンプレート | 2.3.5 | 2.7.7 |
このほか、各サイトで使用中の複数のプラグインについて更新を実施しています。 マルウエア駆除レポート65 マルウエア駆除レポート65 マルウエア駆除レポート65 マルウエア駆除レポート65 マルウエア駆除レポート65 マルウエア駆除レポート65
テーマ更新
サイトGでは、Twenty Sixteenを1.1から3.7へ更新しました。 マルウエア駆除レポート65
不正インデックスへの対応
今回の7サイトでは、すべてのサイトで不正インデックスの登録が確認されました。
各サイトについて確認後、2月2日から9日にかけて不正インデックスの削除申請を実施しています。 マルウエア駆除レポート65 マルウエア駆除レポート65 マルウエア駆除レポート65 マルウエア駆除レポート65 マルウエア駆除レポート65 マルウエア駆除レポート65 マルウエア駆除レポート65
対応結果
不正改ざん検査を行い、調査時に残っていた不正ファイルについて削除・修正を実施しました。あわせて、古いWordPress本体や脆弱性情報が確認されたプラグインを中心に更新・整理を行っています。
また、7サイトで確認された不正インデックスについて、それぞれ削除申請まで対応しました。
再発防止について
WordPressでは、本体・プラグイン・テーマを長期間更新しない状態を避け、脆弱性情報が公開された場合は使用状況とバージョンを確認することが重要です。
あわせて、定期的なバックアップとマルウェア検査を行い、不審なファイルや想定していないインデックスが発生していないか継続的に確認することで、異常の早期発見につながります。
WordPressのマルウェア感染でお困りの方へ
救急WEBでは、WordPressのマルウェア駆除、サイト改ざんの調査、不正ファイルの削除・修正、脆弱性への対応、不正リダイレクトや不正インデックスへの対応、復旧後のセキュリティ対策まで行っています。
複数のWordPressサイトを運用している場合も、サイトごとの感染状況やバージョン、設置ファイルを分けて確認し、必要な復旧作業を進めます。