同一ドメイン内の2つのWordPressサイトでマルウェア駆除・復旧を実施しました。1サイトでは多数の不正ファイル、もう1サイトではWelcart e-Commerce 2.9.14が確認され、2.11.9へ更新。両サイトで不正インデックスを削除し、WordPress本体・プラグイン・テーマの更新を行いました。
対応概要
| 項目 | 内容 |
|---|---|
| 対応サイト数 | 2サイト |
| 対応時期 | 2025年1月27日～31日 |
| WordPress | サイト1：6.6.2から6.7.1へ更新／サイト2：6.7.1 |
| 主な確認内容 | 多数の不正ファイル、Welcart e-Commerceの脆弱性情報、不正インデックス |
| 不正インデックス | 両サイトで登録を確認し、削除 |
| 主な対応 | 不正ファイルの削除・修正、WordPress・プラグイン・テーマの更新 |
調査で確認された内容
同一ドメイン内で運用されていた2つのWordPressサイトを調査したところ、両サイトから不正ファイルが確認されました。サイト1では多数の改ざん対象ファイルが確認され、サイト2でも複数の不正ファイルを確認しています。
サイト2ではWelcart e-Commerce 2.9.14が使用されていました。Welcart e-Commerceについては、2.10.0未満を対象とする脆弱性情報「JVNDB-2024-005021」が確認されており、2.11.9へ更新しました。
また、両サイトで不正インデックスの登録を確認し、削除対応を実施しました。
サイトごとの調査・対応内容
サイト1
サイト1では多数の不正ファイルを確認し、削除または修正を実施しました。
WordPress本体は6.6.2から6.7.1へ更新し、使用中のプラグインとテーマについても更新を行っています。不正インデックスについては1月27日から31日にかけて削除しました。
サイト2
サイト2でも不正ファイルと不正インデックスを確認しました。
Welcart e-Commerceは2.9.14から2.11.9へ更新し、使用テーマについても更新を実施しました。WordPress本体は6.7.1で、変更は実施していません。
確認された不正ファイル
不正改ざん検査で、以下のファイルが削除または修正の対象となりました。
| サイト | 確認された不正ファイル |
|---|---|
| サイト1 | .htaccess（2,135ファイル）、admin.php、admin-ajax.php、index.php、23de7dbe30811f15c35d8fd81d7e8425.avi、85796eca、eUyRsCEV.php、wp-class-atomlib.php、wp-class-bindings.php、wp-class-converter.php、wp-class-feed.php、wp-class-global.php、wp-class-json.php、wp-class-menu.php、wp-class-metadata.php、wp-class-network.php、wp-class-spl.php、wp-class-term.php、wp-client.php、wp-constants.php、wp-crom.php、wp-json.php、wp-loader.php、wp-menu.php、wp-modules.php、wp-network.php、wp-option.php、wp-paused.php、wp-snoopy.php、wp-term.php、wp-wol.php |
| サイト2 | .htaccess（866ファイル）、admin.php、index.php |
確認された脆弱性
| プラグイン | 調査時バージョン | 確認された内容 |
|---|---|---|
| Welcart e-Commerce | 2.9.14 | JVNDB-2024-005021。2.10.0未満の場合、情報を改ざんされる可能性がある脆弱性情報を確認 |
調査時に使用されていた2.9.14は対象バージョンに該当したため、2.11.9へ更新しました。
実施したマルウェア駆除・復旧作業
- 不正ファイルの調査、削除・修正
- WordPress本体の更新
- 使用中プラグインの更新
- 使用テーマの更新
- 未使用・不要プラグインの整理・削除
- 不要テーマの削除
- 不正インデックスの削除
WordPress・プラグイン・テーマの確認・更新内容
サイト1
| 対象 | 作業前 | 作業後 |
|---|---|---|
| WordPress本体 | 6.6.2 | 6.7.1 |
| All-in-One WP Migration | 7.86 | 7.88 |
| Elementor | 3.23.3 | 3.27.1 |
| Elementor Pro | 3.23.2 | 3.27.0 |
| Image optimization service by Optimole | 3.13.6 | 3.13.9 |
| LightStart – Maintenance Mode, Coming Soon and Landing Page Builder | 2.6.11 | 2.6.16 |
| Otter – Page Builder Blocks & Extensions for Gutenberg | 3.0.3 | 3.0.9 |
| Site Kit by Google | 1.84.0 | 1.144.0 |
| Smash Balloon Instagram Feed | 6.5.0 | 6.6.1 |
| Hello Elementor | 3.1.1 | 3.3.0 |
サイト2
WordPress本体は6.7.1で、変更は実施していません。
| 対象 | 作業前 | 作業後 |
|---|---|---|
| Welcart e-Commerce | 2.9.14 | 2.11.9 |
| Welcart Basic | 1.7 | 1.8.6 |
不正インデックスへの対応
両サイトで不正インデックスの登録を確認しました。
1月27日から31日にかけて削除作業を実施し、確認された不正インデックスをすべて削除しました。
対応結果
2つのWordPressサイトについて、不正改ざん検査で確認されたファイルの削除・修正を行い、必要なWordPress本体・プラグイン・テーマの更新を実施しました。
あわせて、両サイトで確認された不正インデックスについても削除対応を行いました。
再発防止について
WordPressのセキュリティ対策では、本体・プラグイン・テーマを適切なバージョンに保ち、公開された脆弱性情報へ速やかに対応することが重要です。
定期的なバックアップに加え、マルウェアや不正改ざんの検査を行うことで、異常を早期に確認できる運用環境を整えておくことも有効です。
WordPressのマルウェア感染でお困りの方へ
救急WEBでは、WordPressのマルウェア駆除、不正ファイルやサイト改ざんの調査・復旧、不正リダイレクト、不正インデックスへの対応、WordPress・プラグイン・テーマの更新などを行っています。
不審なファイルや改ざんが見つかった場合は、感染箇所の調査から駆除・復旧、復旧後のセキュリティ対策まで状況に応じて対応します。