WordPress が乗っ取られたかも？ 確認する場所と、やること（消しても戻るマルウェアにも）

サイトの様子がおかしい。知らないページが Google に出ている、訪問者が別のサイトに飛ばされる、ホスティング会社から警告が来た。そんなとき、慌てて手当たり次第に消すのがいちばん危険です。この記事では、確認する場所と、対処の正しい順番をまとめます。

まず知っておきたいこと：消しても戻るマルウェアがある

2026年10月、セキュリティ企業の Sucuri が「SC」と呼ばれる WordPress のマルウェアを報告しました。少なくとも8 か所に自分の複製を隠し、どれか一つが残っていれば、ほかを全部作り直します。

• ファイル（wp-content/advanced-cache.php、mu-plugins、普通のプラグインのコピー、ZIP）
• データベース
• サーバーのメモリ（共有メモリ）。ファイルとデータベースをきれいにしても、メモリに残ったコピーから復活します

さらに、管理画面から自分の姿を隠し、隠れた管理者アカウントを作り、訪問者にスキマー（カード情報を盗むコード）などを仕込むことがあります。

つまり「怪しいファイルを一つずつ消す」掃除では、勝てないように作られています。

確認する場所

管理画面だけを信じないことが大切です。乗っ取られたサイトでは、管理画面が嘘をつくことがあります。

• Google：site:あなたのドメイン で検索し、身に覚えのないページ（スパム、怪しい商品）がないか
• Search Console：「セキュリティの問題」に警告がないか
• ホスティング会社：マルウェアの警告、急な CPU やメモリの使用量の増加
• ファイル：wp-content/uploads に .php ファイルがないか。wp-content/mu-plugins に覚えのないファイルがないか。キャッシュのプラグインを使っていないのに wp-content/advanced-cache.php がないか（ホスティング会社のキャッシュ機能が作ることもあるので、心当たりがなければ確認を）
• ユーザー：管理画面の ユーザー に見覚えのない管理者がいないか。ただし、上のようなマルウェアは管理画面から隠れるので、ここに何もなくても安心はできません。可能ならホスティング会社の phpMyAdmin などで、データベースのユーザー一覧も確認します

やること（順番が大事です）

1. 記録する：見つけたもの（URL、ファイル名、日時）をメモやスクリーンショットに残す。消すのは後です
2. ホスティング会社に連絡する：多くの会社は調査や復旧を手伝ってくれます。共有メモリの中身まで消すには、サーバー側の作業（PHP やサーバーの再起動など）が必要なこともあります
3. きれいなバックアップから戻す：感染する前のバックアップがあれば、それがいちばん確実です。いつ入られたかわからない場合は、専門の業者に頼むのが安全です
4. 入り口をふさぐ：WordPress、プラグイン、テーマ、そして PHP を最新に。最近では PHP2Shell のように、PHP 自体の脆弱性が入り口になることもあります
5. 鍵を全部変える：WordPress の全管理者のパスワード、データベースのパスワード、ホスティングと FTP のパスワード、そして wp-config.php の「ソルト」（ログイン中の人を全員ログアウトさせます）

予防のために

• 毎日の自動バックアップを、サーバーの外に：乗っ取られたサーバーの中にあるバックアップは、汚されているかもしれません
• 使っていないプラグインとテーマは削除：停止しているだけでは、ファイルは残ります
• 管理者は必要な人だけ：権限の少ないアカウントで普段の作業をする

AI を WordPress につないでいる場合も、AI は承認した人の権限で動くので、管理者の数を絞ることはそのまま安全につながります。詳しくは AI エージェントに WordPress を任せる前にで。