5つのWordPress環境を対象に不正改ざん検査を実施し、複数環境で大量の.htaccessやtxets.php、index.php、cache.phpなどの不正ファイルを確認しました。3環境では不正インデックスも登録されており、削除対応とあわせてWordPress本体・プラグイン・テーマの確認、更新を実施しました。
対応概要
| 項目 | 内容 |
|---|---|
| 対応サイト数 | 5つのWordPress環境 |
| 対応時期 | 2024年11月15日〜11月29日 |
| 主な不正ファイル | .htaccess、txets.php、index.php、cache.php、画像・動画拡張子の不正ファイル、プラグインディレクトリ内の不正ファイル |
| .htaccess | 1環境では2,173ファイル、別環境では1,578ファイル・148ファイルを確認 |
| 不正インデックス | 3環境で確認し、11月18日に削除 |
| WordPress | 複数環境で本体を更新 |
| 脆弱性情報 | Custom Permalinks、Custom Post Type UI、MetaSlider、OptinMonster、Pz-LinkCard、Forminatorなどを確認 |
| その他の対応 | プラグイン・テーマの更新、未使用・不要プラグインの整理・削除 |
調査で確認された内容
5つのWordPress環境を調査したところ、複数環境で.htaccessが不正ファイルとして検出されました。特に多かった環境では2,173ファイル、別の環境でも1,578ファイルが確認されています。
また、txets.phpやcache.php、index.phpのほか、jpg・gif・mp4・ogvといった拡張子を持つ不正ファイルも確認しました。1環境では、WordPressプラグインのディレクトリ内にもindex.php、.htaccess、cache.phpが配置されていました。
あわせて、複数のプラグインについてJVNDBの脆弱性情報を確認し、各WordPress環境の状況に応じて本体、プラグイン、テーマの更新を実施しています。
サイトごとの調査・対応内容
サイト1
.htaccessとindex.phpを不正ファイルとして確認しました。
WordPress本体は5.9.4から更新を実施しています。また、Custom Permalinks、Custom Post Type UI、MetaSlider、OptinMonster、Pz-LinkCardなどについて脆弱性情報を確認しました。
不正インデックスも登録されており、削除対応を行っています。
サイト2
1,578ファイルの.htaccessに加え、PHPファイル、画像ファイル、ogvファイルなど複数種類の不正ファイルを確認しました。
WordPress本体は6.7で変更せず、プラグインおよびテーマの更新を実施しました。不正インデックスについても削除しています。
サイト3
148ファイルの.htaccessとtxets.phpを含む複数の不正ファイルを確認しました。画像・動画拡張子を持つファイルも検出されています。
WordPress本体とプラグインの更新を実施し、不正インデックスも削除しました。
サイト4
2,173ファイルの.htaccessを確認したほか、WordPressのプラグインディレクトリ内にも不正ファイルが配置されていました。
WordPress本体、プラグイン、テーマを更新しています。この環境では不正インデックスの登録は確認されていません。
サイト5
.htaccessとtxets.phpを不正ファイルとして確認し、対応しました。
確認された不正ファイル
| サイト | 確認・対応した不正ファイル |
|---|---|
| サイト1 | .htaccess、index.php |
| サイト2 | txets.php、.htaccess（1,578ファイル）、index.php、cache.php、gxEUQRuWsGpnkhmYy.ogv、6636fcf8d95dedb197381aaf95e58caf.jpg、toggige-arrow.jpg |
| サイト3 | .htaccess（148ファイル）、txets.php、4a2822d501768ed70e490af977a3b3bb.jpg、toggige-arrow.jpg、cache.php、index.php、peAGVQZcSxM.mp4、SZCMqUHRbgFzcYNiVQx.gif |
| サイト4 | .htaccess（2,173ファイル）、/wp-content/plugins/jetpack/_inc/genericons/genericons/index.php、/wp-content/plugins/jetpack/_inc/genericons/genericons/.htaccess、/wp-content/plugins/jetpack/_inc/genericons/genericons/cache.php |
| サイト5 | .htaccess、txets.php |
サイト2・3・5では共通してtxets.phpが確認されました。一方、サイト4ではプラグインディレクトリ内にも不正ファイルが配置されており、環境ごとに不正ファイルの構成が異なっていました。
確認された脆弱性
| プラグイン | 調査時バージョン | 確認された内容 |
|---|---|---|
| Custom Permalinks | 2.4.0 | JVNDB-2023-027323。2.7.0未満で情報の取得・改ざんにつながる脆弱性情報を確認 |
| Custom Post Type UI | 1.13.1 | JVNDB-2023-026700。1.13.5未満で情報を取得される脆弱性情報を確認 |
| MetaSlider | 3.27.12 | JVNDB-2023-026673。3.29.1未満で情報の取得・改ざんにつながる脆弱性情報を確認 |
| OptinMonster | 2.11.1 | JVNDB-2023-005236。2.12.2未満で情報を取得される脆弱性情報を確認 |
| Pz-LinkCard | 2.4.7 | JVNDB-2023-018226。2.4.8およびそれ以前で情報の取得・改ざんにつながる脆弱性情報を確認 |
| Forminator | 1.24.6 | JVNDB-2024-000097。細工されたURLを通じ、ウェブフォームを含むページで任意のスクリプトを実行される脆弱性情報を確認 |
サイト4では、WooCommerce Advanced Free Shipping 1.1.7について最終更新が11か月前となっており、最新WordPressとの互換性や脆弱性リスクを確認する対象となっていました。
実施したマルウェア駆除・復旧作業
- WordPress環境の不正改ざん検査
- 確認された不正ファイルの削除・修正
- WordPress本体の確認・更新
- プラグインの確認・更新
- テーマの確認・更新
- 未使用・不要プラグインの整理・削除
- 不要テーマの整理
- 不正インデックスの確認・削除
WordPress・プラグイン・テーマの確認・更新内容
サイト1
| 対象 | 作業前 | 作業後 |
|---|---|---|
| WordPress本体 | 5.9.4 | 6.7 |
| Advanced Custom Fields | 5.8.9 | 6.3.10.2 |
| Akismet Anti-Spam | 5 | 5.3.5 |
| Contact Form 7 | 5.6.3 | 6 |
| Contact Form CFDB7 | 1.2.6.4 | 1.2.9 |
| Converter for Media | 5.9.4 | 6.1.3 |
| Custom Permalinks | 2.4.0 | 2.7.0 |
| Custom Post Type UI | 1.13.1 | 1.17.2 |
| Duplicate Post | 2.6 | 4.5 |
| Google Analytics for WordPress by MonsterInsights | 8.12.1 | 9.2.2 |
| MetaSlider | 3.27.12 | 3.93.0 |
| OptinMonster | 2.11.1 | 2.16.9 |
| Raw HTML | 1.6.3 | 1.6.4 |
| Really Simple SSL | 5.3.4 | 9.1.2 |
| Redirection | 5.2.3 | 5.5.0 |
| Wordfence Security | 8.0.0 | 8.0.1 |
| XML Sitemap Generator for Google | 4.1.13 | 4.1.21 |
サイト2
WordPress本体は6.7で、変更は実施していません。
| 対象 | 作業前 | 作業後 |
|---|---|---|
| All-in-One WP Migration | 6.68 | 7.87 |
| BackWPup | 4.0.0 | 4.1.6 |
| Elementor | 3.14.1 | 3.25.6 |
| Elementor Header & Footer Builder | 1.6.14 | 1.6.46 |
| Envato Elements | 2.0.12 | 2.0.15 |
| Essential Addons for Elementor | 5.8.2 | 6.0.10 |
| Essential Blocks | 4.1.4 | 5.0.9 |
| Forminator | 1.24.6 | 1.36.3 |
| Hide Page And Post Title | 1.5.7 | 1.5.8 |
| Hello Elementor | 2.8.1 | 3.1.1 |
サイト3
| 対象 | 作業前 | 作業後 |
|---|---|---|
| WordPress本体 | 6.2.6 | 6.7 |
| Akismet Anti-Spam: Spam Protection | 5.1 | 5.3.3 |
| Contact Form 7 | 5.7.5.1 | 6 |
| パスワード保護 | 2.6.2 | 2.7.4 |
サイト4
| 対象 | 作業前 | 作業後 |
|---|---|---|
| WordPress本体 | 6.6.1 | 6.7.1 |
| All-in-One WP Migration | 7.79 | 7.87 |
| BBQ Firewall | 20231026 | 20241104 |
| Contact Form 7 | 5.8.6 | 6.0.1 |
| Japanized for WooCommerce | 2.6.8 | 2.6.17 |
| Rank Math SEO | 1.0.210 | 1.0.233 |
| WooCommerce | 8.5.1 | 9.4.2 |
| Wordfence Security | 7.11.1 | 8.0.1 |
| WP Fastest Cache | 1.2.3 | 1.3.2 |
| Divi | 4.23.4 | 4.27.4 |
不正インデックスへの対応
3つのWordPress環境で不正インデックスの登録を確認しました。
対象となった不正インデックスは11月18日にすべて削除しています。サイト4では不正インデックスの登録は確認されていません。
対応結果
5つのWordPress環境について不正改ざん検査を行い、確認された不正ファイルへの削除・修正対応を実施しました。あわせて、環境ごとにWordPress本体、プラグイン、テーマの確認・更新を行っています。
不正インデックスが登録されていた3環境については削除を実施し、不正ファイルだけでなく検索インデックス側も含めて復旧対応を行いました。
再発防止について
WordPressでは、本体だけでなくプラグインやテーマも継続的に更新し、既知の脆弱性や最新WordPressとの互換性を定期的に確認することが重要です。
あわせて、定期的なバックアップ、不正ファイルや改ざんの検査、検索エンジン上のインデックス確認を行うことで、異常を早期に把握しやすくなります。
WordPressのマルウェア感染でお困りの方へ
救急WEBでは、WordPressのマルウェア駆除、不正ファイルやサイト改ざんの調査・復旧、不正リダイレクトや不正インデックスへの対応、WordPress・プラグイン・テーマの更新などを行っています。
不正ファイルが複数階層に配置されているケースや、大量の.htaccessが検出されるケースについても、対象環境を調査したうえで必要な復旧作業を進めます。