WordPressの改ざんマルウェア対策｜セキュリティガイド【2026年版】

WEBさん

WordPress の改ざん対策は「起きたら直す」ではなく「起きにくくする + 早く気づく」設計が本命です。一つずつ整理していきますね。

WordPress は世界シェア 40% を超える CMS (コンテンツ管理システム) として、個人ブログから企業サイトまで幅広く使われています（出典: W3Techs）。

しかしその人気ゆえに、サイバー犯罪者からの標的にされやすく、マルウェアによる改ざん被害が後を絶ちません。2025 年現在は AI を活用した自動化攻撃が進化し、従来の対策では防ぎきれないケースが増えています。

この記事では、WordPress を改ざんするマルウェアの種類と手法を、実例を交えて詳しく解説します。さらに、SEO を守りつつサイトを保護する最新対策と、改ざんを防ぐ PHP スクリプトも紹介します。大切なサイトを守るために、ぜひ最後までお読みください。

WordPressを狙うマルウェアの種類

マルウェアにはサイト乗っ取り、スパムリンク埋め込み、個人情報窃取など明確な目的があり、WordPress に深刻な影響を与えます。2025 年時点で特に注意すべき 5 種類を紹介します。

1. バックドア型マルウェア（例: Wp-VCD）

• 概要: サイトに不正アクセス用の「裏口」を仕掛ける手口。Wp-VCD はテーマやプラグインに偽装し、「functions.php」に隠しコードを埋め込みます。
• 影響: サーバー乗っ取りやデータ窃取が発生。管理者の気付かぬうちに外部操作されます。
• 特徴: 隠蔽性が高く、駆除後も再感染リスクがあります。
• 実例: 企業サイトが Wp-VCD に感染し、顧客データベースが流出した事例が報告されています。
• 対策: 定期的なファイルスキャン (例：Wordfence の無料スキャン) と、信頼できるソースからのテーマ利用が必須です。

2. スパムSEOマルウェア（例: Japanese SEO Spam）

• 概要: 「バイアグラ」などのスパムリンクを埋め込み、検索順位を操作する手口。2023 年に流行した Japanese SEO Spam は、日本語サイトを標的にしました。
• 影響: Google からブラックリスト入りし、検索結果から排除されます。
• 特徴: 隠しテキストやリンクがページ下部に埋め込まれるため、気づかれにくい。
• 実例: 2023 年、日本の中小企業サイトが数百のスパムリンクを埋め込まれ、Google ペナルティを受けました。
• 対策: Google Search Console で不自然なキーワードを監視し、早期発見を目指します。

3. フィッシング型マルウェア（例: Fake Login Page）

• 概要: 偽ログインページで認証情報を盗む手口。管理画面そっくりの UI で悪用されます。
• 影響: アカウント乗っ取りや顧客データ漏洩。盗まれた情報が闇市場で取引されることもあります。
• 特徴: ソーシャルエンジニアリングと連携し、ユーザーの信頼を悪用します。
• 実例: EC サイトが偽決済フォームで数百人分のクレジットカード情報を盗まれた事例が報告されています。
• 対策: 管理者向けにフィッシング教育を実施し、不審なログイン試行を監視しましょう。

4. リダイレクトマルウェア（例: Malvertising Redirect）

• 概要: 訪問者を詐欺サイトやマルウェア配布ページに転送する手口。広告コードに仕込まれるケースが多いです。
• 影響: ユーザー離脱と SEO 順位低下で、サイト信頼性が失墜します。
• 特徴: モバイル端末を特に狙い、ブラウザ脆弱性を悪用します。
• 実例: ブログサイトがアダルトサイトへ転送され、Google インデックスから削除された事例が知られています。
• 対策: 広告スクリプトの定期点検と、モバイル向けセキュリティ強化が有効です。

5. index.phpと.htaccessを繰り返し改ざんするマルウェア（例: CryptoPHP）

• 概要: 「index.php」や「.htaccess」に悪意あるコードを埋め込み、繰り返し改ざんする手口。CryptoPHP は暗号化されたバックドアを仕込みます。
• 影響: サイト挙動が不安定になり、リダイレクトやスパム表示が発生します。
• 特徴: 駆除後も再感染しやすく、サーバー全体に拡散するリスクがあります。
• 実例: 共有サーバー内で数百の WordPress サイトが連鎖感染した事例が報告されています。
• 対策: ファイル整合性チェックと、サーバーレベルのセキュリティ強化が必要です。

マルウェアがWordPressを改ざんする手法

2025 年の最新トレンドを基に、マルウェアの侵入・改ざん手法を解説します。

1. 脆弱性悪用

• 手法: 古いプラグイン (例：Elementor の過去脆弱性) を突き、コードを実行する手口。
• 実例: 古いプラグインの脆弱性により、数多くのサイトが感染した事例があります。
• 対策: プラグインとコアを常に最新版へ更新し、公式通知をチェックしましょう。

2. ブルートフォース攻撃

• 手法: 弱い認証情報 (例：「admin」「password123」) を総当たりで試す手口。
• 実例: 短時間で膨大なログイン試行が観測された事例が知られています。
• 対策: 16 文字以上の強力なパスワードと、2 要素認証 (例：Google Authenticator) を導入しましょう。

3. ファイルインジェクション

• 手法: 「wp-config.php」やテーマファイルに、悪意ある PHP コード (例：eval(base64_decode())) を注入する手口。
• 実例: 「header.php」に埋め込まれたコードでスパム広告が表示された事例がある（出典: Sucuri, “File Injection Guide”）。
• 対策: Wordfence でリアルタイム監視し、不審なコードを即検知できます。

4. ソーシャルエンジニアリング

• 手法: 「WordPress 公式」を装った偽メールで、マルウェアをダウンロードさせる手口。
• 実例: 「緊急アップデート」と偽るフィッシングメールが拡散した事例が報告されています。
• 対策: 不審なリンクを避け、公式サイト で情報を確認しましょう。

SEOを守るマルウェア対策

マルウェアは SEO に悪影響を及ぼし、検索順位低下やインデックス削除を引き起こします。2025 年最新の対策を以下にまとめました。

• セキュリティスキャン: Sucuri や MalCare で毎日チェック。無料版でも改ざんを即検知できます。
• HTTPS必須化: Let’s Encrypt で無料 SSL を取得し、Google の信頼性基準をクリアしましょう。
• スパム監視: Google Search Console で「カジノ」などの不自然なキーワードを追跡します。
• バックアップ: UpdraftPlus で週 1 回以上の自動保存を設定。感染前の状態へ復元できます。
• ファイル整合性チェック: Wordfence で「index.php」や「.htaccess」の改ざんを監視します。

これらは SEO 維持とユーザー信頼の両立に貢献します（出典: Google Search Central）。

改ざんを止めるPHPプログラム

「index.php」や「.htaccess」の繰り返し改ざんに対抗する PHP スクリプトを、以下に示します。

このスクリプトは、悪意ある PHP プロセスを一時的に停止します。

サーバー全体のプロセスに影響する可能性があるため、慎重に使用してください。

<?php
// stop_malware.php - マルウェアプロセスを停止
$processes = shell_exec('ps -aux | grep php');
$lines = explode("\n", $processes);

foreach ($lines as $line) {
    if (strpos($line, 'php') !== false && strpos($line, 'stop_malware.php') === false) {
        preg_match('/\s+(\d+)\s+/', $line, $matches);
        if (isset($matches[1])) {
            $pid = $matches[1];
            shell_exec("kill -9 $pid");
            echo "プロセス $pid を終了しました。n";
        }
    }
}
echo "チェック完了。index.phpと.htaccessを確認してください。";
?>

<?php
// stop_malware.php - マルウェアプロセスを停止
$processes = shell_exec('ps -aux | grep php');
$lines = explode("n", $processes);

foreach ($lines as $line) {
    if (strpos($line, 'php') !== false && strpos($line, 'stop_malware.php') === false) {
        preg_match('/s+(d+)s+/', $line, $matches);
        if (isset($matches[1])) {
            $pid = $matches[1];
            shell_exec("kill -9 $pid");
            echo "プロセス $pid を終了しました。n";
        }
    }
}
echo "チェック完了。index.phpと.htaccessを確認してください。";
?>

使用方法:

「stop_malware.php」をサーバーにアップロードし、SSH またはブラウザで実行します。実行後は改ざんファイルを削除し、再感染が止まるか確認してください。再発する場合は systemctl restart php-fpm を試し、バックアップを事前に取得しましょう。

まとめ

WordPress を狙うマルウェアは多様で、脆弱性悪用やファイルインジェクションなどの手法で侵入します。

2025 年現在、防御の鍵は「最新アップデート」「強固な認証」「積極的な監視」の 3 点です。SEO と信頼を守るため、以下のステップを今すぐ実行しましょう：

ポイント

• セキュリティツール: Wordfence 無料版を導入。
• バックアップ: UpdraftPlus で最新バックアップを作成。
• ファイルチェック: 「index.php」と「.htaccess」を点検。
• スクリプト実行：上記の PHP スクリプトで再感染を阻止。

WEBさん

読んでも「自分のサイトに何が足りていないか」がモヤッとする場合は、現状の構成を見ながら穴のある箇所を一緒に洗い出すのが手っ取り早いです。