WordPress 3サイトを対象に、マルウェア感染・改ざんの調査と復旧作業を実施しました。1サイトではデータベースのwp_posts・wp_postmeta内にある改ざんデータ11件を削除。あわせてWordPress本体やプラグインを更新し、3サイトすべてで不正インデックスが登録されていないことを確認しました。
対応概要
| 項目 | 内容 |
|---|---|
| 対応サイト数 | 3サイト |
| 対応時期 | 2024年9月5日～9月6日 |
| WordPress | サイトA：5.2.21→6.6.1、サイトB：5.7.12→6.6.1、サイトC：6.6.1で変更なし |
| 改ざんデータ | サイトAのデータベース内で11件を削除 |
| 脆弱性 | 5種類のプラグインで脆弱性情報を確認 |
| 主な対応 | WordPress本体・プラグインの更新、改ざんデータ削除、セキュリティ対策 |
| 不正インデックス | 3サイトともなし |
調査で確認された内容
3サイトを調査したところ、サイトAではWordPressのデータベース内に改ざんデータが確認されました。対象はwp_postsとwp_postmetaで、該当する11件のデータを削除しています。
また、サイトA・サイトBで使用されていたプラグインについて既知の脆弱性情報を確認しました。WordPress本体と利用中プラグインのバージョンを確認し、必要な更新を実施しています。
サイトB・サイトCでは削除対象となる不正ファイルはありませんでした。
サイトごとの調査・対応内容
サイトA
データベースの不正改ざん検査で改ざんデータを確認し、対象データを削除しました。
WordPress本体を5.2.21から6.6.1へ更新し、利用中プラグインの更新とセキュリティ対策用プラグインの追加を実施しています。
サイトB
不正改ざん検査では、削除対象となる不正ファイルはありませんでした。
WordPress本体を5.7.12から6.6.1へ更新し、脆弱性情報が確認されたものを含む利用中プラグインを更新しました。
サイトC
不正改ざん検査では、削除対象となる不正ファイルはありませんでした。
WordPress本体は6.6.1で変更を行わず、利用中プラグインの更新などを実施しました。
データベース内で確認された改ざんデータ
サイトAでは、WordPressの投稿データなどを保存するデータベース内で11件の改ざんデータを確認し、削除しました。
| テーブル | 列 | 対象行 |
|---|---|---|
| wp_posts | post_content | 1064、1071、1140、1155、1156、1159、1161、1171、1172 |
| wp_postmeta | meta_value | 1606、1630 |
不正ファイルの確認だけでなく、データベース内の投稿本文やメタデータについても改ざん検査を行った案件です。
確認された脆弱性
サイトA・サイトBでは、以下のプラグインについて脆弱性情報を確認しました。
| プラグイン | 調査時バージョン | 確認された内容 |
|---|---|---|
| Custom Post Type UI | サイトA：1.6.2／サイトB：1.9.2 | JVNDB-2023-026700 |
| Advanced Custom Fields | サイトA：5.8.0／サイトB：5.9.7 | JVNDB-2024-000093 |
| All In One SEO Pack | サイトA：2.12.1 | JVNDB-2020-015287 |
| Yoast SEO | サイトA：11.2.1／サイトB：16.6.1 | JVNDB-2023-027091 |
| Intuitive Custom Post Order | サイトB：3.1.3 | JVNDB-2023-026709 |
対象となったプラグインについては、利用環境を確認したうえで更新を実施しました。
実施したマルウェア駆除・復旧作業
- データベース内の改ざんデータ削除
- WordPress本体の更新
- プラグインの確認・更新
- セキュリティ対策用プラグインの追加
- 未使用・不要プラグインの整理・削除
- 未使用テーマの削除
- 不正改ざん検査
- 不正インデックスの確認
WordPress・プラグイン・テーマの確認・更新内容
サイトA
| 対象 | 作業前 | 作業後 |
|---|---|---|
| WordPress本体 | 5.2.21 | 6.6.1 |
| Advanced Custom Fields | 5.8.0 | 6.3.6 |
| All In One SEO Pack | 2.12.1 | 4.7.0 |
| Category Order and Taxonomy Terms Order | 1.5.6 | 1.8.5 |
| Classic Editor | 1.5 | 1.6.4 |
| Contact Form 7 | 5.1.3 | 5.9.8 |
| Custom Post Type UI | 1.6.2 | 1.17.1 |
| Really Simple SSL | 3.3.4 | 8.3.0.1 |
| Yoast SEO | 11.2.1 | 23.4 |
あわせて、All In One WP SecurityとWPDoctor Malware Scanner & Security Proを追加しました。利用中テーマのバージョン変更は実施していません。
サイトB
| 対象 | 作業前 | 作業後 |
|---|---|---|
| WordPress本体 | 5.7.12 | 6.6.1 |
| Advanced Custom Fields | 5.9.7 | 6.3.6 |
| Classic Editor | 1.6 | 1.6.4 |
| Custom Post Type Permalinks | 3.4.4 | 3.5.2 |
| Custom Post Type UI | 1.9.2 | 1.17.1 |
| Intuitive Custom Post Order | 3.1.3 | 3.1.5.1 |
| Top 10 | 3.0.0 | 3.3.4 |
| Yoast SEO | 16.6.1 | 23.4 |
利用中テーマのバージョン変更は実施していません。
サイトC
WordPress本体は6.6.1で、変更は実施していません。
| 対象 | 作業前 | 作業後 |
|---|---|---|
| All-in-One WP Migration | 7.57 | 7.86 |
| Classic Editor | 1.6.4 | 削除 |
| Elementor | 3.6.2 | 3.23.4 |
| Insert Headers and Footers | 1.6.0 | 2.2.1 |
| Ultimate Addons for Gutenberg | 1.25.4 | 2.15.2 |
| Yoast Duplicate Post | 4.4 | 4.5 |
利用中テーマのバージョン変更は実施していません。
不正インデックスへの対応
3サイトについて不正インデックスの登録状況を確認し、いずれのサイトでも登録はありませんでした。
そのため、不正インデックスの削除作業は発生していません。
対応結果
3サイトのWordPress環境を調査し、サイトAで確認されたデータベース内の改ざんデータを削除しました。あわせて、WordPress本体や利用中プラグインの更新、セキュリティ対策を実施しています。
サイトB・サイトCでは削除対象となる不正ファイルはなく、3サイトすべてで不正インデックスが登録されていないことを確認しました。
再発防止について
WordPress本体・プラグイン・テーマは定期的に更新し、公開されている脆弱性情報を確認することが重要です。
あわせて、定期的なバックアップやマルウェア検査、ファイル・データベースの改ざんチェックを行うことで、異常を早期に確認できる環境を整えておく必要があります。
WordPressのマルウェア感染でお困りの方へ
救急WEBでは、WordPressのマルウェア駆除、サイト改ざんからの復旧、不正ファイルの除去、不正リダイレクト、不正インデックスへの対応、復旧後のセキュリティ対策を行っています。
ファイルだけでなくデータベース内の改ざんが確認されるケースにも対応し、WordPress本体やプラグインの状態、既知の脆弱性などを確認しながら必要な駆除・復旧作業を実施します。