3つのWordPressサイトでマルウェア駆除・復旧作業を実施しました。複数の不正PHPファイルを削除・修正し、WPvivid Backup PluginとVK All in One Expansion Unitでは脆弱性情報に該当するバージョンを確認。2サイトでは不正インデックスの削除申請も行いました。
対応概要
| 項目 | 内容 |
|---|---|
| 対応サイト数 | 3サイト |
| 対応時期 | 2025年6月5日～6月6日 |
| WordPress | 2サイトで6.8.1を確認。変更なし |
| 主な対応 | 不正改ざん検査、不正ファイルの削除・修正、プラグイン・テーマ更新 |
| 確認された脆弱性 | WPvivid Backup Plugin、VK All in One Expansion Unit |
| 不正インデックス | 2サイトで確認し、削除申請を実施 |
調査で確認された内容
3サイトを調査したところ、WordPress本体やテーマ、関連ファイルを含む複数のファイルで不正な改ざんが確認されました。サイトによって対象ファイルは異なり、ランダムな文字列を含むPHPファイルや、WordPressで使用されるファイル名を持つ改ざんファイルが含まれていました。
また、1サイトではWPvivid Backup Plugin 0.9.93とVK All in One Expansion Unit 9.95.0.1を確認しました。いずれも調査時点で確認対象となった脆弱性情報の影響範囲に該当するバージョンでした。
サイトごとの調査・対応内容
サイトA
複数のPHPファイルと多数の.htaccessを対象に削除・修正を実施しました。
WordPress本体は6.8.1を確認し、プラグインとCocoonテーマを更新しました。不正インデックスも確認されたため、削除申請を実施しています。
サイトB
wp-blog-header.phpとwp-cron.phpを対象に不正改ざんへの対応を実施しました。
WordPress本体は6.8.1を維持し、複数のプラグインとLightningテーマを更新しました。調査時にはWPvivid Backup PluginとVK All in One Expansion Unitで脆弱性情報に該当するバージョンを確認しています。
サイトC
複数のPHPファイルを対象に削除・修正を実施しました。mah.php、product.php、click.phpなど、サイトA・Bとは異なるファイルも確認されています。
不正インデックスが登録されていたため、削除申請を実施しました。
確認された不正ファイル
| サイト | 削除・修正したファイル |
|---|---|
| サイトA | file.php、header.php、.htaccess（630ファイル）、index.php、wp-confiq.php、tpPjDr.php、mFHGeiHxK.php、wItgjMsLJB.php、ObkCTmiv.php、HRsEwBBknX.php、OlydAoWebz.php、jQCio.php、VqHdAoA.php、wp-blog-header.php |
| サイトB | wp-blog-header.php、wp-cron.php |
| サイトC | index.php（2件）、wp-blog-header.php、wp-cron.php、wp-login.php、mah.php、plugins.php、product.php、defaults.php、click.php、install.php、item.php |
確認された脆弱性
| プラグイン | 調査時バージョン | 確認された内容 |
|---|---|---|
| WPvivid Backup Plugin | 0.9.93 | JVNDB-2024-019808。0.9.107未満では、情報取得・情報改ざん・サービス運用妨害（DoS）の影響を受ける可能性がある脆弱性情報に該当 |
| VK All in One Expansion Unit | 9.95.0.1 | JVNDB-2024-022008。9.96.0.0未満では、情報を取得される可能性がある脆弱性情報に該当 |
また、サイトAではEvent Organiser 3.12.8について、最終更新が8か月前で、最新WordPressとの互換性に関するリスクも確認されました。
実施したマルウェア駆除・復旧作業
- WordPressサイトの不正改ざん検査
- 不正ファイルの削除・修正
- 脆弱性情報を踏まえたプラグインの確認・更新
- プラグイン・テーマのアップデート
- 未使用・不要プラグインの整理・削除
- 不正インデックスの確認と削除申請
WordPress・プラグイン・テーマの確認・更新内容
サイトAとサイトBではWordPress本体6.8.1を確認し、本体のバージョン変更は実施していません。
サイトA
| 対象 | 作業前 | 作業後 |
|---|---|---|
| Blocks Animation: CSS Animations for Gutenberg Blocks | 3.0.10 | 3.0.12 |
| PDF Embedder | 4.9.0 | 4.9.2 |
| Cocoon | 2.8.4 | 2.8.6 |
サイトB
| 対象 | 作業前 | 作業後 |
|---|---|---|
| All in One SEO | 4.8.1.1 | 4.8.3.2 |
| All In One WP Security | 5.1.9 | 5.4.1 |
| All-in-One WP Migration | 7.79 | 7.95 |
| EWWW Image Optimizer | 7.2.2 | 8.1.4 |
| Jetpack | 13.9.1 | 14.7 |
| PDF Embedder | 4.7.1 | 4.9.2 |
| Site Kit by Google | 1.130.0 | 1.154.0 |
| VK All in One Expansion Unit | 9.95.0.1 | 9.109.0.1 |
| VK Block Patterns | 1.32.0.0 | 1.33.2.1 |
| VK Blocks | 1.69.1.2 | 1.104.0.1 |
| Lightning | 15.18.0 | 15.29.7 |
不正インデックスへの対応
サイトAとサイトCでは不正インデックスの登録が確認されました。両サイトとも6月6日に削除申請を完了しています。
サイトBでは不正インデックスの登録は確認されませんでした。
対応結果
3サイトそれぞれで確認された不正改ざんに対し、対象ファイルの削除・修正を実施しました。あわせて、必要なプラグイン・テーマの更新や脆弱性への対応を行っています。
不正インデックスが確認された2サイトについては、検索結果からの削除に向けた申請まで実施しました。
再発防止について
WordPressのマルウェア対策では、本体・プラグイン・テーマを適切に更新し、既知の脆弱性を放置しないことが重要です。
あわせて、定期的なバックアップや不正ファイルの検査、使用中プラグインの更新状況の確認を行うことで、異常を早期に発見しやすくなります。
WordPressのマルウェア感染でお困りの方へ
救急WEBでは、WordPressのマルウェア駆除、不正ファイルや改ざん箇所の調査、脆弱性の確認、プラグイン・テーマの更新、不正インデックスへの対応などを行っています。
複数の不正ファイルが確認された場合や、検索結果に意図しないページが登録されている場合なども、サイトの状態を確認したうえで復旧作業を進めます。