BLOG
WordPressがハッキングされたら？バックドアの危険性と正しい復旧方法
2026.11.9WordPress保守・復旧
「WordPressがハッキングされた」
「ホームページが不審なサイトに転送される」
「マルウェアを削除したのに、また改ざんされた」
WordPressのセキュリティ被害で特に注意したいのが、攻撃者によってバックドアが設置される可能性があることです。
バックドアとは、攻撃者が後から再び不正アクセスするために残す仕組みのことです。
例えば、WordPressの脆弱性を悪用して侵入した攻撃者が、不正なPHPファイルをサーバー内に設置したとします。
その後、WordPressを最新版に更新しても、設置されたバックドアが残っていれば、再び不正操作される可能性があります。
つまり、一度WordPressへの侵入が成功した場合、侵入の原因を修正するだけでなく、攻撃者が残した不正な仕組みがないか確認する必要があるということです。
この記事では、WordPressがハッキングされた場合に注意したいバックドアの危険性と、復旧時に確認すべきポイントを解説します。
WordPressは一度侵入されると何が危険なのか？
WordPressは、世界中で利用されているCMSです。
WordPress本体だけでなく、プラグインやテーマにも脆弱性が発見されることがあり、更新されていない環境では、既知の脆弱性が攻撃に悪用される可能性があります。
攻撃者がWordPressやサーバーへの侵入に成功した場合、次のような被害が発生することがあります。
- ホームページの文章や画像が改ざんされる
- 不審なサイトへ自動的に転送される
- 不正な広告やリンクが埋め込まれる
- 管理者アカウントが不正に追加される
- データベース内の情報が不正に取得・変更される
- サーバー内に不正なプログラムが設置される
特に注意したいのが、最後の「不正なプログラムの設置」です。
攻撃者がバックドアを設置した場合、最初に悪用された脆弱性を修正しても、別の経路から再侵入される可能性があります。
WordPressを最新版に更新しただけでは、すでに設置された不正なファイルが自動的にすべて削除されるとは限りません。
バックドアとは？攻撃者が再侵入するための仕組み
バックドアとは、正規の認証やアクセス制御を回避し、後から不正にシステムを操作するための仕組みです。
WordPressが侵害された場合、攻撃者がサーバー内に不正なPHPファイルを設置したり、既存のファイルを改ざんしたりして、バックドアを作成することがあります。
また、不正な管理者アカウントを追加するなど、ファイル以外の方法でアクセス手段を維持しようとする場合もあります。
例えば、次のような流れです。
- 古いプラグインの脆弱性などを悪用して侵入する
- サーバー内に不正なファイルを設置する
- サイトの管理者がWordPressやプラグインを更新する
- しかし、不正なファイルは削除されずに残る
- 攻撃者が残されたバックドアを使って再びアクセスする
これはバックドアが利用される一例です。実際の攻撃手法や侵入経路は事案によって異なります。
最初の侵入口をふさいでも、別の侵入口が残っていれば再発する可能性があるという点が重要です。
不正なファイルを削除しただけでは安心できない理由
WordPressが改ざんされた場合、目に見える異常だけを修正して対応を終えてしまうことがあります。
例えば、ホームページに不審なリンクが追加されていたため、そのリンクを削除したとします。
しかし、攻撃者が別の場所に不正なプログラムを設置していた場合、再び同じような改ざんが発生する可能性があります。
また、マルウェアスキャンで検出されたファイルを削除しても、検出されなかった不正なファイルや設定が残っている場合があります。
さらに、WordPressの管理者アカウントやサーバーの認証情報が第三者に知られている場合、ファイルを削除するだけでは不正アクセスを防げません。
そのため、復旧時には次の3つを分けて考える必要があります。
- 侵入原因の特定と修正：悪用された脆弱性や認証情報を確認する
- 不正な変更の除去：バックドア、改ざんファイル、不正アカウントなどを確認する
- 再発防止：更新、認証情報の変更、アクセス制御などを実施する
見つかった不正ファイルを一つ削除しただけで、復旧が完了したと判断するのは危険です。
バックドアが仕込まれやすい場所
WordPressへの侵入後、不正なファイルやコードが設置される場所は一つとは限りません。
調査対象となる場所には、例えば次のようなものがあります。
- wp-content/uploads
本来は画像などのアップロードファイルを保存する場所ですが、不正なPHPファイルなどが設置される場合があります。 - wp-content/plugins
既存プラグインのファイルが改ざんされたり、不正なプラグインが追加されたりする場合があります。 - wp-content/themes
テーマのPHPファイルなどに不正なコードが追加される場合があります。 - wp-content/mu-plugins
自動的に読み込まれるプラグインの仕組みが悪用される場合があります。 - WordPress本体のファイル
正規ファイルが書き換えられたり、不正なファイルが追加されたりする場合があります。 - データベース
投稿内容や設定情報に不正なコードやURLが保存される場合があります。
これらの場所にファイルやデータが存在すること自体が、不正アクセスの証拠になるわけではありません。
正常なWordPressやプラグインも同じ場所を使用するため、正規ファイルとの比較や変更履歴の調査などが必要です。
ファイル名だけで不正と判断し、むやみに削除しないよう注意してください。
復旧時に確認すべき7つの項目
WordPressへの侵入が確認された場合は、影響範囲を調査したうえで、少なくとも次の項目を確認することが重要です。
① WordPress本体のファイル
WordPress本体に不正な変更がないか確認します。必要に応じて、信頼できる正規の配布ファイルと比較します。
② プラグイン・テーマ
不正なプラグインやテーマが追加されていないか、既存ファイルが改ざんされていないか確認します。既知の脆弱性や更新状況も点検します。
③ アップロードディレクトリ
画像などを保存する場所に、不審な実行ファイルが存在しないか確認します。
④ データベース
投稿内容、サイト設定、ユーザー情報などに不正な変更がないか確認します。
⑤ WordPressの管理者アカウント
身に覚えのない管理者ユーザーが追加されていないか、権限が不正に変更されていないか確認します。
⑥ サーバーの認証情報・設定
FTP・SFTP・SSH・サーバー管理画面・データベースなどの認証情報や、サーバーの設定に不審な変更がないか確認します。
⑦ 同じサーバー内の別サイト
旧サイト、テストサイト、サブドメインなど、同じサーバー内で運用している別のWebサイトにも影響が及んでいないか確認します。
これらに加えて、アクセスログやエラーログ、バックアップ、ファイルの更新履歴なども重要な調査資料になります。
調査を始める前に、可能な範囲でログやファイルの状態を保全しておくことが大切です。
古いWordPressやテストサイトにも注意
WordPressのセキュリティ対策では、現在公開しているホームページだけを確認していても不十分な場合があります。
特に注意したいのが、サーバー内に残っている古いWordPressです。
例えば、次のようなものです。
- リニューアル前の旧ホームページ
- 制作時に使用したテストサイト
- 過去の検証用WordPress
- 使用していないサブドメイン
- 公開ディレクトリ内に残されたバックアップ用のコピー
実際に、現在のホームページとは別に、過去のテスト環境や旧サイトとして残っていたWordPressが攻撃対象となった事例もあります。
こうした古いWordPressが同じサーバー内に存在する場合、サーバーの構成や権限設定によっては、他のサイトにも影響する可能性があります。
現行サイトを最新版に更新していても、別の古いWordPressが攻撃される可能性があることを忘れてはいけません。
不要なWordPressは、必要なデータをバックアップしたうえで、削除や公開停止を検討しましょう。
Wordfenceで検出・削除すれば大丈夫？
WordPressのセキュリティ対策プラグインとして知られているのが、Wordfence（ワードフェンス）です。
Wordfenceには、WAFによる攻撃の検知・ブロックや、マルウェアスキャンなどの機能があります。
不審なファイルやWordPress本体の改ざんなどを検出できる場合もあり、セキュリティ対策に役立ちます。
しかし、Wordfenceのスキャンで検出されたファイルを削除しただけで、すべてのバックドアがなくなったとは断定できません。
例えば、次のような問題が残る可能性があります。
- スキャンで検出されなかった不正なコードが残っている
- データベースに不正な変更が残っている
- 不正な管理者アカウントが残っている
- サーバーの認証情報が流出している
- 別のWordPressにバックドアが残っている
Wordfenceは有用な防御・検出ツールですが、侵害されたサイトの完全な復旧を保証するものではありません。
侵入が確認された場合は、スキャン結果だけに頼らず、影響範囲に応じた調査と復旧を行うことが重要です。
安全なバックアップからの復元も選択肢
WordPressが侵害された場合、状況によっては、不正なファイルを一つずつ削除するよりも、信頼できるバックアップや正規ファイルを使って環境を再構築する方が適切な場合があります。
ただし、バックアップが存在するからといって、必ず安全とは限りません。
攻撃者が侵入した後に取得されたバックアップには、すでに不正なファイルや設定が含まれている可能性があります。
そのため、復元する際には次のような点を確認します。
- バックアップが取得された日時
- 不正アクセスが始まった可能性のある時期
- バックアップ内に不審なファイルや設定がないか
- 復元後に既知の脆弱性が残らないか
- 認証情報の変更が必要か
また、WordPress本体やプラグイン、テーマは、必要に応じて信頼できる正規の配布元から再導入することも検討します。
バックアップを戻すだけでなく、侵入原因の修正と認証情報の見直しまで実施することが重要です。
再発防止にはサーバー全体の見直しが必要
WordPressの復旧が完了した後も、再発防止のための対策が必要です。
具体的には、次のような項目を見直します。
- WordPress本体・プラグイン・テーマを適切に更新する
- PHPをサポート対象のバージョンに更新する
- 不要なプラグインやテーマを削除する
- 古いWordPressやテストサイトを整理する
- 管理者アカウントのパスワードを変更する
- 必要に応じて認証キーや各種認証情報を更新する
- 二要素認証を導入する
- WordfenceなどのWAF・スキャン機能を活用する
- バックアップの取得と復元手順を整備する
- 復旧後もログやサイトの動作を監視する
ただし、これらの作業をすべてのサイトで同じように実施すればよいわけではありません。
被害の範囲やサーバー構成、侵入原因に応じて、必要な調査と対策を判断することが大切です。
特に、侵害されたWordPressと同じサーバーアカウント内に複数のサイトが存在する場合は、他のサイトへの影響も確認する必要があります。
「改ざんされたページを元に戻したから完了」ではなく、「攻撃者が再び侵入できる状態が残っていないか」まで確認することが重要です。
まとめ｜一度侵入されたら部分的な修正で終わらせない
WordPressへの不正侵入が成功した場合、攻撃者によってバックドアが仕込まれる可能性があります。
そのため、不審なファイルを削除したり、WordPressを最新版に更新したりするだけでは、十分な復旧にならない場合があります。
重要なのは、侵入原因の調査、不正な変更の除去、認証情報の見直し、同じサーバー内の別サイトの確認、再発防止まで一連の対応を行うことです。
また、現在のホームページが最新の状態でも、過去のテストサイトや旧WordPressが残っていれば、別の攻撃経路になる可能性があります。
大阪本町を拠点とする株式会社リバースでは、WordPressの保守管理、PHP・WordPressのアップデート、Webサイトのセキュリティ対策、サーバー移行などに対応しています。
「WordPressが改ざんされていないか心配」
「古いWordPressやテストサイトがサーバーに残っている」
「WordPressやPHPを長期間更新していない」
「セキュリティ対策や保守管理を見直したい」
そんな場合は、お気軽にご相談ください。
※不正アクセスの調査や改ざん復旧については、被害状況やサーバー環境を確認したうえで、対応可能な範囲をご案内します。
参考情報：
WordPress.org｜FAQ My site was hacked
Wordfence公式｜Scan
CISA｜Ransomware Guide（インシデント対応の参考）
ホームページ・WordPress・Web改善の
無料相談はこちら
株式会社リバース