2026年10月のPHPの重大な脆弱性では、修正版が公開される前から攻撃の試みが観測されていました。PHPを更新すれば今後の攻撃は防げますが、更新前にすでに入り込まれていた場合、その痕跡は更新しても消えません。
この記事では、WordPressサイトが改ざんや乗っ取りの被害に遭っていないか、専門知識がなくても確認できる方法を、手軽なものから順にまとめました。
この記事の要点
- まずは外から：Googleの「site:」検索とSearch Consoleで、見覚えのないページや警告がないか確認
- 次に管理画面：知らないユーザーやプラグインが追加されていないか確認
- 怪しいものを見つけたら：自分で削除する前に、記録を残して専門家に相談
こんな症状があったら要注意
- スマートフォンや検索結果からアクセスすると、別の怪しいサイトに飛ばされる
- Googleの検索結果に、身に覚えのない日本語や外国語のページ、商品ページが表示される
- ブラウザやGoogleに「このサイトは危険です」といった警告が出る
- サーバー会社から「迷惑メールを送信している」「不正なファイルがある」と連絡が来た
- サイトが急に重くなった、または表示されなくなった
改ざんの中には、サイト管理者がパソコンで見ても普段どおりに表示されるものも多くあります。症状がなくても、以下の確認をしておくと安心です。
確認1：Googleで「site:」検索をする
Googleの検索窓に「site:自社のドメイン」（例：site:example.com）と入力して検索すると、Googleに登録されている自社サイトのページが一覧で表示されます。
作った覚えのないページ、意味の通らない日本語や外国語のタイトル、ブランド品や医薬品の販売ページなどが表示された場合は、改ざんされている可能性が高いです。
確認2：Google Search Consoleを確認する
Google Search Consoleを登録している場合は、左メニューの「セキュリティと手動による対策」→「セキュリティの問題」を開きます。Googleが不正なコンテンツを検出している場合は、ここに表示されます。
また、「ページ」のレポートで、登録されているページの数が急に増えていないかも確認しましょう。不正なページを大量に作られると、ページ数が急増することがあります。
確認3：WordPressの管理画面を確認する
ユーザー一覧
「ユーザー」→「ユーザー一覧」で、覚えのないユーザー、特に権限が「管理者」のユーザーがいないかを確認します。攻撃者は、後からいつでも入れるように、自分用の管理者アカウントを作ることがあります。
プラグイン一覧
「プラグイン」→「インストール済みプラグイン」で、入れた覚えのないプラグインがないかを確認します。もっともらしい名前で偽装されていることもあるので、見覚えがなければ名前で検索して、正規のプラグインかどうかを確かめましょう。
最近の投稿・固定ページ
「投稿」「固定ページ」の一覧で、作った覚えのない記事や、最近更新した覚えのない記事がないかも見ておきます。
確認4：サーバー上のファイルを確認する（少し上級）
FTPソフトやレンタルサーバーのファイルマネージャーが使える場合は、次の点を確認します。
- wp-content/uploads フォルダの中に「.php」で終わるファイルがないか。このフォルダには通常、画像などしか入らないため、PHPファイルがあれば不正なものの可能性が高いです
- WordPressのフォルダ直下や wp-content フォルダに、見覚えのないファイルがないか
- ファイルの更新日時を新しい順に並べたとき、自分で作業していない日時に更新されたファイルがないか
怪しいものを見つけたら
自分で削除する前に、まず記録を残してください
見つけたファイルやユーザーをすぐに削除したくなりますが、原因や侵入経路の調査ができなくなることがあります。画面のスクリーンショットを撮り、ファイル名や日時を記録したうえで、制作会社・サーバー会社・専門家に相談してください。お問い合わせフォームなどで個人情報を扱っている場合は、情報漏えいへの対応が必要になることもあります。
あわせて、WordPressの管理者パスワード、FTPやサーバー管理画面のパスワード、サイトで使っている外部サービスのAPIキーなどの変更も検討しましょう。
あわせて読みたい
ご相談はXROSS DESIGNへ
「確認してみたけれど、判断がつかない」「怪しいファイルが見つかった」という方は、お気軽にご相談ください。XROSS Designでは、不正アクセスの痕跡調査から、改ざんされたサイトの復旧、再発防止の対策まで対応しています。
他社で制作されたサイトについてもご相談いただけます。