2つのWordPressサイトで、複数の不正ファイルと不正インデックスを確認し、削除・修正とインデックス削除申請を実施しました。うち1サイトではWPForms Lite 1.8.6.4がCVE-2024-11205の対象範囲に該当しており、1.9.6.2へ更新。両サイトで関連プラグインの更新も行った対応事例です。
対応概要
| 項目 | 内容 |
|---|---|
| 対応サイト数 | 2サイト |
| 対応時期 | 2025年7月18日～7月19日 |
| WordPress | 両サイトとも6.8.2 |
| 主な不正ファイル | wp-blog-header.php、wp-users.php、abcd.php、wp-confiq.php、ランダム文字列のPHPファイルなど |
| 確認された脆弱性 | WPForms Lite 1.8.6.4／CVE-2024-11205 |
| 不正インデックス | 両サイトで確認 |
| 主な対応 | 不正ファイルの削除・修正、プラグイン更新、不正インデックスの削除申請 |
調査で確認された内容
2サイトを調査したところ、WordPress関連ファイルに似た名称を含む複数の不正ファイルが確認されました。また、両サイトで不正インデックスの登録も確認されています。
サイトAではWPForms Lite 1.8.6.4が使用されていました。このバージョンはCVE-2024-11205の対象として示されている1.8.4～1.9.2.1の範囲内であったため、マルウェア駆除作業とあわせて更新を実施しました。
サイトごとの調査・対応内容
サイトA
複数の不正ファイルを確認し、削除または修正を実施しました。WPForms Liteについては脆弱性の対象バージョンが使用されていたため、安全性を確認した新しいバージョンへ更新しています。
WordPress本体は6.8.2で、プラグインの更新と不正インデックスへの対応を実施しました。
サイトB
サイトBでもWordPress関連ファイルに似せた不正ファイルに加え、複数のランダムな文字列を使用したPHPファイルが確認されました。
不正ファイルの削除・修正、プラグイン更新を行い、不正インデックスについても削除申請を実施しました。WordPress本体は6.8.2です。
確認された不正ファイル
| 対象 | 確認された不正ファイル |
|---|---|
| 2サイト共通 | wp-blog-header.php、wp-cron.php、wp-users.php、abcd.php、header.php、wp-confiq.php、wp-load.php |
| サイトA | .htaccess（1160）、PNWJHew.php |
| サイトB | .htaccess（230）、ThfJPLnwh.php、RacZLJdteI.php、xVVjqEKVQJ.php、fILvvW.php、khIaNmXMJ.php、iFSqPviZy.php |
wp-confiq.phpのようにWordPressの正規ファイル名に似せた名称や、ランダムな文字列を使用したPHPファイルも含まれていました。
確認された脆弱性
| プラグイン | 調査時バージョン | 確認された内容 |
|---|---|---|
| WPForms Lite | 1.8.6.4（サイトA） | CVE-2024-11205。1.8.4～1.9.2.1が対象範囲として示されており、情報取得や情報改ざんにつながるリスクがある脆弱性 |
また、Classic Editorは両サイトで最終更新から8か月が経過しており、最新のWordPressとの互換性に関するセキュリティリスクが確認されていました。今回の作業では両サイトとも1.6.7へ更新しています。
実施したマルウェア駆除・復旧作業
- WordPress内の不正改ざん検査
- 不正ファイルの削除・修正
- 脆弱性が確認されたプラグインの更新
- その他プラグインの更新
- 未使用・不要プラグインの整理・削除
- 不正インデックスの確認と削除申請
WordPress・プラグインの確認・更新内容
WordPress本体は両サイトとも6.8.2で、バージョン変更は実施していません。
サイトA
| 対象 | 作業前 | 作業後 |
|---|---|---|
| Akismet Anti-spam: Spam Protection | 5.3.1 | 5.5 |
| All in One SEO | 4.5.6 | 4.8.5 |
| Broken Link Checker for SEO | 1.1.2 | 1.2.5 |
| Classic Editor | 1.6.3 | 1.6.7 |
| Contact Form 7 | 5.8.7 | 6.1 |
| Feeds for YouTube | 2.1.4 | 2.4.0 |
| OptinMonster | 2.15.3 | 2.16.19 |
| Reviews Feed | 1.1 | 2.1.1 |
| Smash Balloon Custom Facebook Feed | 4.3.0 | 4.3.2 |
| Smash Balloon Instagram Feed | 6.8.0 | 6.9.1 |
| TypeSquare Webfonts for エックスサーバー | 2.0.5 | 2.0.8 |
| WPForms Lite | 1.8.6.4 | 1.9.6.2 |
| WPZOOM Instagram Widget & Block | 2.2.7 | 2.2.8 |
| カスタム Twitter フィード | 2.2.2 | 2.3.1 |
サイトB
| 対象 | 作業前 | 作業後 |
|---|---|---|
| Akismet Anti-Spam | 5 | 5.5 |
| Classic Editor | 1.6.2 | 1.6.7 |
| Contact Form 7 | 5.8.7 | 6.1 |
| TypeSquare Webfonts for エックスサーバー | 1.2.1 | 2.0.8 |
不正インデックスへの対応
両サイトで不正インデックスの登録を確認しました。7月19日に、確認された不正インデックスについてすべて削除申請を完了しています。
対応結果
2サイトで確認された不正ファイルへの削除・修正を行い、脆弱性やセキュリティリスクが確認されたプラグインを含めて更新を実施しました。
あわせて、両サイトで確認された不正インデックスについて削除申請を行い、一連のマルウェア駆除・復旧作業を完了しました。
再発防止について
WordPressのマルウェア対策では、本体だけでなくプラグインやテーマを継続的に更新し、既知の脆弱性を放置しないことが重要です。
定期的なバックアップとマルウェア検査を行い、利用しているプラグインの脆弱性情報やWordPressとの互換性も継続して確認することで、サイトのセキュリティ維持につながります。
WordPressのマルウェア感染でお困りの方へ
救急WEBでは、WordPressのマルウェア駆除やサイト改ざんの復旧、不正ファイルの調査、不正リダイレクトや不正インデックスへの対応、復旧後のセキュリティ対策まで対応しています。
不審なPHPファイルや見覚えのない検索インデックスが確認された場合は、サイト内の調査とあわせて、WordPress本体・プラグイン・テーマの状態を確認することが重要です。