PHP・WordPressの改ざん確認チェックリスト

最終確認 2026-10-21

脆弱性が公開されたあと、実際に攻撃が報告されると「自分のサイトは大丈夫か」を確認する必要が出てきます。たとえば2024年のCVE-2024-4577では、公開から約1か月後の7月5日にIPAが「PHPの脆弱性(CVE-2024-4577)を狙う攻撃について」を公表し、国内の組織でwebshell(サーバーを遠隔操作するための不正なプログラム)が設置された事例を報告して、ログの確認を呼びかけました。

よくある兆候

• 見覚えのないページ、または別のサイトへの転送(リダイレクト)がある
• 検索結果に、身に覚えのないタイトルや説明文が表示される
• WordPressに知らない管理者ユーザーが増えている
• 見覚えのないPHPファイルが増えている、または既存ファイルの更新日時が変わっている
• サーバー会社やセキュリティサービスから警告・通知が届いた
• サーバーの負荷や送信メールが急に増えた

ファイルとログの確認

1. アクセスログ: 特定のPHPファイルへのPOSTが集中していないか、見覚えのないファイル名やパラメータへのアクセスがないかを確認します。IPAもCVE-2024-4577への攻撃についてログの確認を呼びかけました。
2. 最近更新されたファイル: 公開ディレクトリで、更新日時が最近のPHPファイルや見覚えのないファイルを洗い出します。
3. アップロード用フォルダ: WordPressの wp-content/uploads は画像などを置く場所です。PHPファイルがあれば要注意です。
4. 設定ファイル: wp-config.php や .htaccess に覚えのない変更がないかを確認します。
5. ユーザーと予約処理: WordPressの管理者ユーザー一覧、サーバーのcron設定を確認します。

サーバー会社の改ざん検知

レンタルサーバーによっては、改ざんやマルウェアを検知する機能を提供しています。たとえばエックスサーバーは「XServer サイトセキュリティ」の無料提供と、従来の「Web改ざん検知」の提供終了を告知しています。お使いのサーバー会社の機能と、届いている通知を確認してください。エックスサーバーのPHP更新について

復旧の流れ

1. 証拠を保全する: ログと不審なファイルのコピーを残します。
2. 影響範囲を確認する: 改ざんされたファイル、漏えいした可能性のある情報を整理します。
3. パスワードを変更する: WordPressの管理者、FTP/SSH、データベース、サーバーの管理画面。
4. クリーンな状態に戻す: 侵害前のバックアップから復元するか、WordPress本体・プラグイン・テーマを公式から入れ直します。
5. 入口をふさぐ: PHP・WordPress・プラグインを修正済みのバージョンへ更新します。
6. 必要に応じて報告する: 個人情報が関係する場合は、関係機関への報告が必要になることがあります。

相談先

• IPA 情報セキュリティ安心相談窓口: 被害や対処について相談できます。
• JPCERT/CC: インシデントの報告を受け付けています。
• 契約しているサーバー会社・保守会社: ログの提供や復旧の支援を受けられる場合があります。

再発を防ぐ

• PHPをサポート中のブランチの最新版に保つ(PHPの脆弱性一覧)
• WordPress本体・プラグイン・テーマを更新し、使っていないものは削除する(wp2shellの例)
• 管理画面のパスワードを強いものにし、二要素認証を使う
• 定期的にバックアップを取り、復元できることを確認する

よくある質問

出典

• IPA: 重要なセキュリティ情報
• IPA: 情報セキュリティ安心相談窓口
• JPCERT/CC
• エックスサーバー(お知らせ)

最終確認日: 2026-10-21