6つのWordPressサイトを対象に、改ざん検査とマルウェア駆除を実施しました。複数サイトで共通する不正ファイルを確認したほか、1サイトではCustom Field Suite 2.6.7に該当する脆弱性情報を確認しました。3サイトでは不正インデックスも確認され、削除申請やアクセス制御を含む対応を行っています。
対応概要
| 項目 | 内容 |
|---|---|
| 対応サイト数 | 6サイト |
| 対応時期 | 2025年7月9日～7月10日 |
| WordPress | 全6サイトで6.8.1 |
| 主な不正ファイル | 1.txt、radio.php、admin.php、wp-blog-header.php、wp-cron.php、index.phpなど |
| 確認された脆弱性 | Custom Field Suite 2.6.7／JVNDB-2024-018295 |
| 不正インデックス | 6サイト中3サイトで確認 |
| 主な対応 | 不正ファイルの削除・修正、プラグイン・テーマ更新、不正インデックス対応 |
調査で確認された内容
6サイトを調査したところ、1.txt、radio.php、wp-blog-header.php、wp-cron.phpなど、複数サイトに共通する不正ファイルが確認されました。サイトによっては、さらに固有の不正ファイルも存在していました。
また、1サイトではCustom Field Suite 2.6.7が使用されており、JVNDB-2024-018295に該当する脆弱性情報を確認しました。WordPress本体はいずれも6.8.1で、プラグインやテーマについて必要な更新を実施しました。
不正インデックスは3サイトで確認され、それぞれの状況に応じて404応答の設定や削除申請を行いました。
サイトごとの調査・対応内容
サイトA
不正ファイルの削除・修正に加え、複数のプラグインを更新しました。Custom Field Suiteに関する脆弱性情報もこのサイトで確認しています。
不正インデックスが確認されていたため、「?」を含むURLへのアクセスを404として処理する設定を実施しました。
サイトB
不正ファイルを削除・修正し、プラグインとテーマを更新しました。不正インデックスの登録は確認されていません。
サイトC
複数の不正ファイルを削除・修正し、プラグインとテーマを更新しました。不正インデックスの登録は確認されていません。
サイトD
不正ファイルの削除・修正とプラグイン・テーマ更新を実施しました。不正インデックスが確認されており、7月10日に削除申請を完了しました。
サイトE
他サイトとの共通ファイルに加え、このサイト固有の不正ファイルも確認されました。不正ファイルの削除・修正、プラグイン・テーマ更新を実施し、不正インデックスについては7月10日に削除申請を完了しました。
サイトF
不正ファイルの削除・修正とテーマ更新を実施しました。不正インデックスの登録は確認されていません。
確認された不正ファイル
各サイトで削除または修正対象となったファイルは次のとおりです。
| サイト | 確認された不正ファイル |
|---|---|
| サイトA | .htaccess（1,432ファイル）、1.txt、about.php、index.php、radio.php、wp-blog-header.php、wp-cron.php |
| サイトB | admin.php、wp-blog-header.php、wp-cron.php、1.txt、radio.php |
| サイトC | .htaccess（424ファイル）、admin.php、wp-blog-header.php、wp-cron.php、1.txt、radio.php、index.php |
| サイトD | .htaccess（97ファイル）、admin.php、wp-blog-header.php、wp-cron.php、1.txt、radio.php、index.php |
| サイトE | .htaccess（28ファイル）、admin.php、wp-blog-header.php、wp-cron.php、1.txt、radio.php、index.php、abcd.php、header.php、wp-confiq.php |
| サイトF | .htaccess（32ファイル）、admin.php、wp-blog-header.php、wp-cron.php、1.txt、radio.php、index.php、about.php |
同一名称のファイルが複数サイトで確認されており、サイトごとに改ざん状況を確認したうえで削除・修正を行いました。
確認された脆弱性
サイトAでは、Custom Field Suiteのバージョン2.6.7が使用されていました。
| プラグイン | 調査時バージョン | 確認された内容 |
|---|---|---|
| Custom Field Suite | 2.6.7 | JVNDB-2024-018295。2.6.7およびそれ以前のバージョンで、情報の取得や改ざんにつながる脆弱性情報が確認されています |
Custom Field Suiteは作業後も2.6.7で、バージョン変更は実施していません。
実施したマルウェア駆除・復旧作業
- WordPressサイトの不正改ざん検査
- 不正ファイルの削除・修正
- WordPress本体のバージョン確認
- プラグイン・テーマの更新
- 未使用・不要プラグインの整理・削除
- 不正インデックスへの対応
WordPress・プラグイン・テーマの確認・更新内容
全6サイトともWordPress本体は6.8.1で、バージョン変更は実施していません。
サイトA
| 対象 | 作業前 | 作業後 |
|---|---|---|
| ACF to REST API | 3.3.3 | 3.3.4 |
| Admin Menu Editor | 1.12.2 | 1.13.1 |
| Advanced Custom Fields | 6.3.3 | 6.4.2 |
| All in One SEO | 4.6.5 | 4.8.4.1 |
| All-in-One WP Migration | 7.83 | 7.96 |
| Broken Link Checker by AIOSEO | 1.2.1 | 1.2.5 |
| Category Order and Taxonomy Terms Order | 1.8.2 | 1.9 |
| Classic Editor | 1.6.3 | 1.6.7 |
| Custom Post Type Permalinks | 3.5.2 | 3.5.3 |
| Custom Post Type UI | 1.17.1 | 1.17.3 |
| Lazy Blocks | 3.8.3 | 4.0.3 |
| Post Types Order | 2.2.3 | 2.3.7 |
| WP Mail SMTP | 4.0.1 | 4.5.0 |
| WP Multibyte Patch | 2.9 | 2.9.2 |
| メンテナンス | 4.12 | 4.17 |
All-in-One WP Migration Unlimited Extensionは2.58で、更新用ファイルをダウンロードできない状態でした。
サイトB
| 対象 | 作業前 | 作業後 |
|---|---|---|
| Flexible Table Block | 3.4.0 | 3.5.0 |
| Site Kit by Google | 1.138.0 | 1.156.0 |
| TablePress | 2.4.4 | 3.1.3 |
| SWELL | 2.12.0 | 2.15.0 |
サイトC
| 対象 | 作業前 | 作業後 |
|---|---|---|
| Blocks Animation: CSS Animations for Gutenberg Blocks | 2.3.1 | 3.1.0 |
| SWELL | 2.7.4.1 | 2.15.0 |
サイトD
| 対象 | 作業前 | 作業後 |
|---|---|---|
| CloudSecure WP Security | 1.3.11 | 1.3.15 |
| Twenty Twenty-Five | 1.1 | 1.2 |
サイトE
| 対象 | 作業前 | 作業後 |
|---|---|---|
| Contact Form 7 | 5.9.8 | 6.1 |
| SANGO | 3.9.6 | 3.9.11 |
サイトF
| 対象 | 作業前 | 作業後 |
|---|---|---|
| SWELL | 2.7.9 | 2.15.0 |
不正インデックスへの対応
6サイトのうち、サイトA・サイトD・サイトEの3サイトで不正インデックスが確認されました。
サイトAでは、「?」を含むURLへのアクセスを404として処理する設定を実施しました。サイトDとサイトEでは、不正インデックスに対する削除申請を行い、7月10日に全件の申請を完了しました。
サイトB・サイトC・サイトFでは、不正インデックスの登録は確認されていません。
対応結果
6サイトそれぞれについて改ざん状況を確認し、検出された不正ファイルの削除・修正を実施しました。あわせて、必要なプラグインやテーマを更新しています。
不正インデックスが確認されたサイトについても、アクセス制御や削除申請を実施し、サイトごとの状況に応じた復旧作業を行いました。
再発防止について
WordPressでは、本体だけでなくプラグインやテーマの更新状況を継続的に確認することが重要です。今回のように脆弱性情報が公開されているプラグインについては、利用バージョンと公開されている脆弱性情報を照合し、更新や利用継続の判断を行う必要があります。
定期的なバックアップと改ざん・マルウェア検査を組み合わせることで、異常が発生した際にも早期に確認しやすくなります。
WordPressのマルウェア感染でお困りの方へ
救急WEBでは、WordPressのマルウェア駆除、不正ファイルやサイト改ざんの調査・復旧、不正リダイレクトや不正インデックスへの対応、プラグイン・テーマの脆弱性確認などを行っています。
複数サイトで共通する不正ファイルが確認されたケースや、不正インデックスが発生しているケースについても、サイトごとの状況を確認しながら対応しています。