2つのWordPressサイトを調査し、1サイトで不正なファイルと毎時実行される不正プロセス設定を確認しました。改ざん箇所への対応に加え、プラグインの脆弱性情報や互換性を確認し、不要なプラグインを整理しました。不正インデックスは両サイトとも確認されていません。
対応概要
| 項目 | 内容 |
|---|---|
| 対応サイト数 | 2サイト |
| 対応時期 | 2025年7月30日 |
| WordPress | 両サイトとも6.8.2、変更なし |
| 不正改ざん | 1サイトで不正ファイル・不正プロセス設定を確認 |
| 脆弱性・セキュリティ確認 | All in One SEO、TablePress、PuSHPressを確認 |
| 不正インデックス | 2サイトともなし |
| その他の対応 | 不正改ざん検査、未使用・不要プラグインの整理・削除 |
調査で確認された内容
対象は2つのWordPressサイトです。1サイトでは不正なファイルに加え、cron形式で毎時実行されるコマンドを含む不正プロセス設定が確認され、削除・修正を実施しました。
また、両サイトのWordPress本体とプラグインの状態を確認しました。既知の脆弱性情報があるプラグインや、長期間更新されておらず最新WordPressとの互換性に問題があるプラグインについても確認しています。
サイトごとの調査・対応内容
サイトA
不正ファイルと不正プロセス設定を確認し、削除・修正を実施しました。
WordPress本体とプラグインの状態も確認し、不要なプラグインを整理しています。不正インデックスの登録はありませんでした。
サイトB
WordPress本体とプラグインの状態を確認しました。長期間更新されておらず、最新WordPressとの互換性がないプラグインが確認されており、セキュリティ上のリスクとして確認しています。
不正インデックスの登録はありませんでした。
確認された不正ファイル
サイトAでは、ファイルだけでなく定期実行される不正プロセス設定も確認されました。
| 種別 | 確認内容 | 対象 |
|---|---|---|
| 不正ファイル | .profile | サイトA |
| 不正プロセス設定 | #defunct-kernelを含み、0 * * * *で実行されるcron形式の設定 | サイトA |
不正プロセスの設定にはBase64でエンコードされたコマンドが含まれており、デコード後にbashを実行する内容となっていました。また、WordPressのwp-content/themes/twentytwenty/配下にあるdefunct.datおよびdefunctを参照する処理が含まれていました。
確認された脆弱性
調査時には、All in One SEOとTablePressについて既知の脆弱性情報を確認しました。
| プラグイン | 調査時バージョン | 確認された内容 |
|---|---|---|
| All in One SEO | 4.8.5（両サイト） | 4.8.2未満に、情報の取得・改ざんにつながる脆弱性（JVNDB-2025-006384） |
| TablePress | 3.1.3（サイトB） | 3.1.3未満に、情報の取得・改ざんにつながる脆弱性（JVNDB-2025-008817） |
調査時のAll in One SEOは4.8.5、TablePressは3.1.3で、いずれも上記脆弱性の対象となるバージョン条件未満ではありませんでした。
また、サイトBのPuSHPress 0.1.10は最終更新が3年前で、最新のWordPressと互換性がないプラグインとしてセキュリティ上のリスクを確認しました。
実施したマルウェア駆除・復旧作業
- 不正ファイルおよび不正プロセス設定の削除・修正
- WordPressサイトの不正改ざん検査
- WordPress本体・プラグインの状態確認
- 既知の脆弱性およびプラグイン互換性の確認
- 未使用・不要プラグインの整理・削除
- 不正インデックスの確認
WordPress・プラグインの確認・更新内容
両サイトともWordPress本体は6.8.2で、変更は実施していません。
プラグインについても調査時のバージョンを確認し、今回の作業では更新を行わず、サイト構成に応じた整理を実施しました。
不正インデックスへの対応
2サイトとも不正インデックスの登録は確認されませんでした。
対応結果
対象2サイトの調査を行い、確認された不正ファイルと不正プロセス設定への対応を実施しました。あわせてWordPress本体やプラグインの状態、既知の脆弱性、互換性上のリスクについて確認しています。
不正インデックスについても確認し、両サイトとも登録がない状態でした。
再発防止について
WordPressのセキュリティ維持では、本体・プラグインを継続的に確認し、脆弱性が修正されたバージョンへ適切に更新することが重要です。長期間更新されていないプラグインや、現在のWordPressと互換性がないプラグインについても定期的な見直しが必要です。
また、不正ファイルの検査だけでなく、cronなどの定期実行設定や不審なプロセスについても確認することで、ファイル以外に残された不正な処理を発見できる場合があります。
WordPressのマルウェア感染でお困りの方へ
救急WEBでは、WordPressのマルウェア駆除やサイト改ざんの復旧、不正ファイル・不正プロセスの調査、不正リダイレクトや不正インデックスへの対応を行っています。
マルウェア駆除後のWordPress・プラグインの確認や、脆弱性への対応、再発防止に向けたセキュリティ対策についても、サイトの状態に応じて対応しています。