4つのWordPressサイトを対象に、不正改ざん検査とマルウェア駆除・復旧作業を実施しました。users.phpを含む不正ファイルや多数の改ざんファイルが確認されたほか、Page Builderなどのプラグインに関する脆弱性情報も確認しています。3サイトでは不正インデックスへの対応も行いました。
対応概要
| 項目 | 内容 |
|---|---|
| 対応サイト数 | 4サイト |
| 対応時期 | 2025年9月30日～10月10日 |
| WordPress | 4サイトとも6.8.2 |
| 主な不正ファイル | users.php、header.php、index.php、wp-confiq.php、ランダム名のPHPファイルなど |
| 確認した脆弱性情報 | customizer export/import、Page Builder |
| 不正インデックス | 3サイトで登録を確認 |
| 主な対応 | 不正改ざん検査、不正ファイルの削除・修正、プラグイン・テーマ更新、不正インデックス対応 |
調査で確認された内容
4サイトを調査したところ、複数のサイトでWordPress関連ファイルの改ざんや不正なPHPファイルが確認されました。users.phpのほか、LdeFY.php、cPfMLFDv.phpなどランダムな文字列を使用したファイルも削除・修正の対象となっています。
また、プラグインではcustomizer export/importとPage Builderに関する既知の脆弱性情報を確認しました。あわせて、最新のWordPressとの互換性や更新状況にリスクがあるプラグインについても確認しています。
3サイトでは不正インデックスの登録が確認されたため、不正ファイルへの対応とは別に検索エンジン側への削除申請とXMLサイトマップ送信を実施しました。
サイトごとの調査・対応内容
サイト1
多数の改ざんファイルと複数のランダム名PHPファイルを確認し、削除・修正を実施しました。
プラグインとテーマを更新し、不正インデックスについては削除申請とXMLサイトマップ送信を行いました。
サイト2
users.phpを含む複数のWordPress関連ファイルが削除・修正の対象となりました。
プラグインとテーマの更新を行い、不正インデックスについても削除申請とXMLサイトマップ送信を実施しました。
サイト3
WordPress本体とプラグインの状態を確認し、必要なプラグイン更新を実施しました。
不正インデックスの登録が確認されたため、削除申請とXMLサイトマップ送信を行いました。
サイト4
users.phpを確認し、不正改ざんへの対応を実施しました。プラグインの更新とあわせて、更新状況や最新WordPressとの互換性に関するリスクも確認しています。
このサイトでは不正インデックスの登録はありませんでした。
確認された不正ファイル
削除または修正した不正ファイルは、サイトごとに以下の内容でした。
| 対象 | 削除・修正した不正ファイル |
|---|---|
| サイト1 | .htaccess（434ファイル）、header.php、index.php、wp-confiq.php、LdeFY.php、cPfMLFDv.php、sDaqQmc.php、ZOIiyZ.php、usLXYgLEEe.php、oGmKWQsttR.php |
| サイト2 | .htaccess（107ファイル）、users.php、wp-blog-header.php、wp-cron.php、header.php、index.php、wp-confiq.php |
| サイト4 | users.php |
今回の対応では、既存のWordPress関連ファイルだけでなく、ランダムな名称を持つ複数のPHPファイルも確認されています。
確認された脆弱性
案件内では、以下のプラグインについて脆弱性情報を確認しました。
| プラグイン | 脆弱性対象バージョン | 確認された内容 |
|---|---|---|
| customizer export/import | 0.9.7.1未満 | JVNDB-2024-025956。情報取得、情報改ざん、サービス運用妨害（DoS）の影響 |
| Page Builder | 2.31.5未満 | JVNDB-2025-011355。情報取得および情報改ざんの影響 |
また、サイト4で確認したResponsive Accordion And Collapse 2.5.2は最終更新が6か月前で、最新WordPressとの互換性がないプラグインとしてセキュリティ上のリスクが確認されています。
実施したマルウェア駆除・復旧作業
- 不正改ざん検査
- 不正ファイルの削除・修正
- WordPress本体・プラグイン・テーマの状態確認
- プラグイン・テーマのアップデート
- 未使用・不要プラグインの整理・削除
- プラグインの脆弱性・更新状況の確認
- 不正インデックスの削除申請
- XMLサイトマップの送信
WordPress・プラグイン・テーマの確認・更新内容
4サイトともWordPress本体は6.8.2で、バージョン変更は実施していません。
実際に更新した主なプラグインとテーマは以下の通りです。
| 対象 | 作業前 | 作業後 |
|---|---|---|
| サイト1：Contact Form 7 | 6.1.1 | 6.1.2 |
| サイト1：Otter – Page Builder Blocks & Extensions for Gutenberg | 3.1.1 | 3.1.2 |
| サイト1：QUALIA | 1.2.1 | 1.3.1 |
| サイト2：Akismet Anti-spam: Spam Protection | 5.3.1 | 5.5 |
| サイト2：TypeSquare Webfonts for エックスサーバー | 2.0.5 | 2.0.8 |
| サイト2：Twenty Twenty-Four | 1 | 1.3 |
| サイト3：Contact Form 7 | 6.1.1 | 6.1.2 |
| サイト4：Contact Form 7 | 6.1.1 | 6.1.2 |
不正インデックスへの対応
サイト1～3では不正インデックスの登録が確認されました。
10月1日から10月10日にかけて削除申請を行い、あわせてXMLサイトマップを送信しました。サイト4では不正インデックスの登録は確認されていません。
対応結果
各サイトの不正改ざん状況を確認し、確認された不正ファイルの削除・修正と、必要なプラグイン・テーマの更新を実施しました。
検索結果への影響が確認された3サイトについては、不正インデックスに対する削除申請とXMLサイトマップ送信も実施し、WordPress内部と検索インデックスの両面から対応しています。
再発防止について
WordPressのセキュリティを維持するには、本体だけでなくプラグインやテーマについても継続的な更新が必要です。既知の脆弱性情報に加え、長期間更新されていないプラグインや最新WordPressとの互換性も確認することが重要です。
あわせて、定期的なバックアップと不正改ざん検査を行い、通常とは異なるPHPファイルや既存ファイルの変更を早期に確認できる状態を維持します。
WordPressのマルウェア感染でお困りの方へ
救急WEBでは、WordPressのマルウェア駆除、不正ファイルやサイト改ざんの調査・復旧、不正リダイレクト、不正インデックスへの対応、プラグイン・テーマの脆弱性確認などを行っています。
users.phpのような不審なファイルが見つかった場合や、検索結果に身に覚えのないページが登録されている場合は、該当ファイルだけでなくサイト全体の改ざん状況を確認し、必要な復旧作業を行うことが重要です。