7つのWordPressサイトを対象に不正改ざん検査を行い、すべてのサイトでwp-config.phpの改ざんを確認しました。さらに一部サイトではauthorized_keysやwp-mailer.phpなど複数の不正ファイルも確認しています。不正ファイルの削除・修正に加え、WordPress本体、プラグイン、テーマの更新と脆弱性情報の確認を実施しました。
対応概要
| 項目 | 内容 |
|---|---|
| 対応サイト数 | 7サイト |
| 対応時期 | 2024年11月13日～11月15日 |
| 主な改ざん | 全7サイトでwp-config.phpを確認 |
| その他の不正ファイル | authorized_keys、wp-mailer.php、wp-setting.php、wp-core-verify-checksums.phpなど |
| WordPress本体 | 6サイトで6.6.2から6.7へ更新、1サイトは6.7を維持 |
| 脆弱性情報の確認対象 | MetaSlider、Photo Gallery、Custom Post Type UI、VK All in One Expansion Unit、FooGallery |
| 不正インデックス | 7サイトすべてなし |
| 主な対応 | 不正ファイルの削除・修正、WordPress・プラグイン・テーマの更新、脆弱性確認 |
調査で確認された内容
今回の調査では、対象となった7サイトすべてでwp-config.phpに対する改ざんが確認されました。また、不正プロセスやタスクが組み込まれ、wp-config.phpが自動的に改ざんされる状態も確認しています。
サイトによって改ざん範囲には違いがあり、1サイトではSSH関連のauthorized_keysに加え、WordPress直下のPHPファイル、プラグインファイル、テーマのfunctions.phpなど広い範囲が対象となっていました。別のサイトではwp-core-verify-checksums.phpも確認されています。
既知の脆弱性情報についても、導入されていたプラグインのバージョンと照合し、必要な更新を実施しました。
サイトごとの調査・対応内容
サイト1
wp-config.phpだけでなく、SSH関連ファイル、WordPress直下のPHPファイル、複数のプラグイン・テーマファイルに改ざんが確認されました。
不正ファイルの削除・修正を行い、WordPress本体、プラグイン、テーマの更新を実施しました。
サイト2
wp-config.phpの改ざんを確認しました。
WordPress本体を更新し、VK All in One Expansion Unitおよびテーマの更新を実施しました。
サイト3
wp-config.phpの改ざんを確認しました。
WordPress本体は6.7の状態を維持し、VK All in One Expansion Unit、VK Blocks、テーマを更新しました。
サイト4
wp-config.phpに加えて、wp-core-verify-checksums.phpを確認しました。
対象ファイルへの対応後、WordPress本体とテーマを更新しました。
サイト5
wp-config.phpの改ざんを確認しました。
WordPress本体とテーマの更新を実施しました。
サイト6
wp-config.phpの改ざんを確認しました。
WordPress本体、Contact Form 7、テーマの更新を実施しました。
サイト7
wp-config.phpの改ざんを確認しました。
WordPress本体とAll in One SEOの更新を実施しました。
確認された不正ファイル
| 対象サイト | 削除または修正したファイル |
|---|---|
| サイト1 | /.ssh/authorized_keys/public_html/.ssh/authorized_keys/wp-config.php/wp-mailer.php/wp-setting.php/wp-content/plugins/classic-editor/classic-editor.php/wp-content/plugins/classic-widgets/classic-widgets.php/wp-content/plugins/ml-slider/ml-slider.php/wp-content/plugins/photo-gallery/photo-gallery.php/wp-content/plugins/whats-new-genarator/whats-new-generator.php/wp-content/themes/cocoon-child-master/functions.php/wp-content/themes/cocoon-master/functions.php/wp-content/themes/lightning/functions.php/wp-content/themes/twentytwentyfour/functions.php/wp-content/themes/twentytwentytwo/functions.php |
| サイト2・3・5・6・7 | /wp-config.php |
| サイト4 | /wp-core-verify-checksums.php/wp-config.php |
特にサイト1では、WordPress本体周辺だけでなく、プラグインやテーマのPHPファイル、SSH関連ファイルまで改ざん対象が広がっていました。
確認された脆弱性
既知の脆弱性情報と、作業時点で導入されていたプラグインのバージョンを照合しました。作業時点の各バージョンは、いずれも下表のJVNDB情報で示された脆弱なバージョン条件を上回っていました。
| プラグイン | 調査時バージョン | 確認された内容 |
|---|---|---|
| MetaSlider | 3.92.1 | JVNDB-2023-026673。3.29.1未満で情報取得・情報改ざんの影響 |
| Photo Gallery | 1.8.31 | JVNDB-2024-012300。1.8.31未満で情報取得・情報改ざんの影響 |
| Custom Post Type UI | 1.17.1 | JVNDB-2023-026700。1.13.5未満で情報取得の影響 |
| VK All in One Expansion Unit | 9.100.1.1 | JVNDB-2024-007034。9.99.2.0未満で情報取得・情報改ざんの影響 |
| FooGallery | 2.4.22 | JVNDB-2024-010080。2.4.15未満で情報取得・情報改ざんの影響 |
既知の脆弱性が公開されているプラグインについては、現在の導入バージョンだけでなく、継続的に更新状況を確認することが重要です。
実施したマルウェア駆除・復旧作業
- WordPressおよびサーバー内の不正改ざん検査
- 確認された不正ファイルの削除・修正
- WordPress本体の更新
- 必要なプラグインの更新
- テーマの更新・整理
- 未使用・不要プラグインの整理・削除
- 既知の脆弱性情報と導入バージョンの確認
- 不正インデックス登録の確認
WordPress・プラグイン・テーマの確認・更新内容
WordPress本体は、サイト3を除く6サイトで6.6.2から6.7へ更新しました。サイト3は作業時点で6.7だったため、本体バージョンの変更は実施していません。
| 対象 | 作業前 | 作業後 |
|---|---|---|
| サイト1：LightStart – Maintenance Mode, Coming Soon and Landing Page Builder | 2.6.13 | 2.6.14 |
| サイト1：Otter – Page Builder Blocks & Extensions for Gutenberg | 3.0.5 | 3.0.6 |
| サイト2：VK All in One Expansion Unit | 9.100.1.1 | 9.100.4.1 |
| サイト3：VK All in One Expansion Unit | 9.100.1.1 | 9.100.5.0 |
| サイト3：VK Blocks | 1.90.0.1 | 1.90.1.1 |
| サイト6：Contact Form 7 | 5.9.8 | 6 |
| サイト7：All in One SEO | 4.7.4.2 | 4.7.5 |
| サイト1～6：Twenty Twenty-Three | 1.5 | 1.6 |
| サイト2～6：Twenty Twenty-Four | 1.2 | 1.3 |
| サイト2～6：Twenty Twenty-Two | 1.8 | 1.9 |
| サイト3・6：Twenty Twenty-One | 2.3 | 2.4 |
| サイト6：Twenty Fourteen | 4 | 4.1 |
サイトごとの構成に応じて必要な更新を行い、古い状態のまま運用される箇所を整理しました。
不正インデックスへの対応
7サイトすべてについて不正インデックスの登録状況を確認し、不正な登録は確認されませんでした。
対応結果
不正改ざん検査で特定したファイルに対して削除または修正を行い、各サイトの構成に応じてWordPress本体、プラグイン、テーマの更新を実施しました。
複数サイトを同時に調査する案件でも、改ざん箇所や導入環境にはサイトごとの差があります。そのため、各サイトを個別に確認しながら駆除・復旧作業を進めています。
再発防止について
WordPressのマルウェア対策では、本体・プラグイン・テーマを継続して更新し、公開される脆弱性情報を確認することが重要です。
あわせて、定期的なバックアップ、マルウェア検査、重要ファイルの改ざん確認を行うことで、異常を早期に把握しやすくなります。特にwp-config.phpなど重要ファイルに意図しない変更がないか、定期的に確認することが有効です。
WordPressのマルウェア感染でお困りの方へ
救急WEBでは、WordPressのマルウェア駆除、サイト改ざんの調査・復旧、不正ファイルの削除、不正リダイレクトや不正インデックスへの対応、WordPress本体・プラグイン・テーマの確認と更新などに対応しています。
複数のWordPressサイトを運用している場合も、サイトごとの構成や改ざん状況を確認しながら必要な対応を行います。