「サイトに見覚えのない中国語や英語のスパム記事が大量に投稿されている」「Google検索からアクセスすると怪しい通販サイトやカジノサイトへ勝手に転送される」「管理画面のユーザー一覧に見知らぬ管理者アカウントが存在している」。WordPressで個人ブログやWebメディアを運営していると、ある日突然このような不正アクセスの兆候に直面することがあります。
WordPressは世界中で最も普及しているCMS（コンテンツ管理システム）であるため、サイバー攻撃者による自動スキャンや総当たり攻撃の標的になりやすい特徴があります。万が一サイトに異常を感じたとき、焦って当て推量でファイルを削除したり放置したりすると、バックドア（裏口）を見落として再侵入を許したり、サイト全体を破損させたりする二次被害につながります。
この記事では、個人ブロガーやサイト運営者が自力で進められる「WordPressの不正アクセス・改ざん調査手順」を体系的に解説します。未知の管理者アカウントの点検から、コアファイル・プラグインの改ざん検証、ログイン履歴の確認、さらにレンタルサーバー（wpX Speedや旧wpXクラウド）の管理パネルで点検できるセキュリティ項目と、サーバー事業者への問い合わせが必要な境界線まで詳しく整理しました。
この記事で行うこと
- WordPressにおける代表的な不正アクセス・改ざんの手口と兆候を整理する
- 管理画面とデータベースから不正な管理者アカウントや未知の投稿を特定する
- コアファイル、テーマ、プラグイン、アップロードフォルダの改ざんと不審ファイルを検出する
- ログイン履歴プラグインやWP-CLIを用いた客観的な侵害状況の把握手順を理解する
- wpX Speedおよび旧wpXクラウドの管理パネルで確認できる設定とエラーログの仕様を押さえる
- 自力調査の限界とサーバー事業者に相談すべき境界線を明確にする
前提条件・対象読者
- WordPressでブログやWebサイトを個人運営しており、不正アクセスの兆候を調査したい方
- wpX Speedや旧wpXクラウドなどのエックスサーバー系WordPress特化サーバーを利用している方
- FTP/SFTPクライアントやレンタルサーバーのファイルマネージャー、管理画面を操作できる方
- 最終確認日：2026年11月（WordPress.org公式ドキュメントおよびwpX公式マニュアルに基づく）
1. Quick Reference：不正アクセス調査の優先度別チェックリスト
異常を察知した直後は、被害を広げないための一次保全と、侵入経路・被害状況の特定を順番に進める必要があります。まずは優先度順の調査チェックリストを確認してください。
| 優先度 | 調査対象・作業項目 | 主な確認場所・コマンド | 検出できる異常・目的 |
|---|---|---|---|
| P1 | ユーザー一覧の点検 | 管理画面「ユーザー」/ wp_users | 未知の管理者アカウント、権限昇格 |
| P1 | ログイン・セッションの無効化 | wp-config.php 内の秘密鍵・SALT | 攻撃者の既存ログインセッション切断 |
| P1 | コアファイルの整合性確認 | wp core verify-checksums / 公式ZIP照合 | index.php や wp-settings.php の改ざん |
| P2 | uploadsフォルダの不審ファイル確認 | /wp-content/uploads/ 内の走査 | 画像フォルダに隠されたPHPバックドア |
| P2 | リダイレクト・SEOスパムの確認 | .htaccess / 投稿一覧 / Search Console | 不正な転送処理、未承認のスパム下書き |
| P2 | プラグイン・テーマの更新日照合 | /wp-content/plugins/ / 公式リポジトリ | 脆弱な拡張機能、非公式ファイルの混入 |
| P3 | サーバー側セキュリティ設定の確認 | wpX管理パネル（国外IP制限・WAF・試行回数） | 外部からの不正ログイン試行の遮断状況 |
| P3 | サーバーエラーログの確認 | wpX管理パネル「エラーログ」 | PHP致命的エラー、不正スクリプトの実行痕跡 |
2. WordPressで発生する代表的な3大攻撃手口
WordPressに対する攻撃は、大半が自動化されたボットによって機械的に実行されます。攻撃の手口を理解しておくと、調査すべきポイントが明確になります。
2-1. 管理画面・APIへの総当たり攻撃（ブルートフォース攻撃）
攻撃者は、/wp-login.php や /xmlrpc.php、あるいはWordPress REST APIのエンドポイントに対して、辞書攻撃や総当たり攻撃（ブルートフォース攻撃）を仕掛けます。 ユーザー名が初期状態の admin のままだったり、サイトの著者アーカイブ（/?author=1）から推測しやすいユーザー名になっていたり、単純なパスワードを設定していると容易に管理画面へ侵入されます。侵入に成功した攻撃者は、即座に自分用の管理者アカウントを追加し、プラグインエディターから任意のPHPコードを注入します。
2-2. プラグイン・テーマの脆弱性を突いたバックドア設置
更新が停止したプラグインや、過去に重大な脆弱性（SQLインジェクション、リモートコード実行、任意のファイルアップロード脆弱性）が公表されたプラグインを放置していると、管理画面を経由せずにサーバー内へ不正ファイルが直接書き込まれます。 攻撃者は、通常PHPファイルが存在しないはずの /wp-content/uploads/ 配下や、正規プラグインのフォルダ内に、難読化されたPHPスクリプト（Webシェル、バックドア）を配置します。これにより、後からいつでもサーバー内のファイルを遠隔操作できる状態が作られます。
2-3. SEOスパム記事の大量生成と悪質リダイレクト
攻撃者の目的の多くは、被害サイトのドメインパワーを悪用した不正サイトへの送客です。 データベースの wp_posts テーブルに直接アクセスして、数千件から数万件規模の医薬品・ブランド偽物・カジノ・アダルト関連のスパム記事を公開または予約投稿します。また、.htaccess やテーマの header.php、index.php にJavaScriptやPHPのリダイレクトコードを仕込み、「Google検索などの検索エンジン経由のアクセス者（Refererが特定のもの）だけを不正サイトへ転送する」といった巧妙な細工を施します。直接URLを打ち込んだ管理者には通常のサイトが表示されるため、発見が遅れやすくなります。
3. 管理画面とデータベースの点検手順
調査の第1段階として、管理画面とデータベースに不審な痕跡がないか確認します。
3-1. 不正な管理者アカウントと未知ユーザーの点検
WordPress管理画面の左メニュー「ユーザー」＞「ユーザー一覧」を開きます。
確認すべきポイント
- 権限グループが「管理者（Administrator）」になっているアカウントが自分自身以外に存在しないか
- 見覚えのないメールアドレスや、ランダムな文字列（例:
admin_backup,system_service,wp_user_8392など）のユーザーが登録されていないか - 登録日時が直近で、自分が作成した記憶のないユーザーがいないか
管理画面にアクセスできない、または管理画面のユーザー一覧自体が改ざんされて隠蔽されている疑いがある場合は、サーバーの「phpMyAdmin」などのデータベース管理ツールから直接テーブルを確認します。
SELECT ID, user_login, user_email, user_registered
FROM wp_users
ORDER BY user_registered DESC;
さらに、該当ユーザーの権限を wp_usermeta テーブルで確認します。
SELECT user_id, meta_key, meta_value
FROM wp_usermeta
WHERE meta_key = 'wp_capabilities';
もし身に覚えのない管理者アカウントが発見された場合は、即座に該当ユーザーを削除し、自分自身のアカウントのパスワードを十分に長いランダム文字列に変更します。
3-2. 不審な投稿・固定ページ・下書きの確認
管理画面の「投稿一覧」および「固定ページ一覧」を開き、以下の観点で点検します。
確認すべきポイント
- 記事の総件数が自分が公開した本数と大きく乖離していないか
- 「下書き」や「ゴミ箱」、「予約投稿」に見知らぬ外国語タイトルやスパムリンクを含む記事が入っていないか
- 既存の重要記事（アクセス数の多い人気記事）の本文末尾に、不審な非表示リンク（隠しリンク、極小フォント、CSSで画面外に飛ばしたリンク）が埋め込まれていないか
Google Search Consoleを利用している場合は、「インデックス作成」＞「ページ」レポートを開き、自分が投稿していない不審なURLが大量にインデックス登録されていないかも併せて確認してください。
4. ファイルシステムの改ざん点検手順
データベースだけでなく、サーバー上のファイル改ざんや不正ファイルの配置を点検します。FTPクライアントやSSH、サーバーパネルのファイルマネージャーを使用します。
4-1. コアファイル（wp-config.php、.htaccess、index.php）の検証
WordPressのルートディレクトリにある基本ファイルは、攻撃者に最も狙われやすい場所です。
wp-config.php の確認
データベースの接続情報や秘密鍵が記載されているファイルです。冒頭の <?php の直後や末尾に、不審な eval(base64_decode(...)) や外部サーバーとの通信を行うスクリプトが追加されていないか目視で確認します。また、不正アクセスを検知した際は、WordPress公式の鍵生成API（https://api.wordpress.org/secret-key/1.1/salt/）で新しい秘密鍵とSALTを生成し、wp-config.php 内の定義をすべて書き換えます。これにより、攻撃者が保持している既存のCookieセッションがすべて強制切断されます。
.htaccess の確認
Apacheサーバーにおける転送ルールを司る設定ファイルです。以下のような不審なリダイレクト記述や、特定のUser-Agent・Refererのみを別ドメインに飛ばす記述がないか確認します。
# 不正な改ざんの典型例
RewriteEngine On
RewriteCond %{HTTP_REFERER} .*google.* [OR]
RewriteCond %{HTTP_REFERER} .*yahoo.*
RewriteRule ^(.*)$ https://malicious-spam-domain.example/redirect.php [R=301,L]
WordPress標準の .htaccess 記述以外の不審なルールが存在する場合は、標準設定に戻すか該当行を削除します。
index.php の確認
ルート直下の index.php は、通常は数行（WordPressの環境をロードする数行のコード）で構成されています。数百行に及ぶコードが追記されていたり、難読化された長い文字列が含まれている場合は改ざんされています。
4-2. uploadsフォルダ内のPHPファイル点検
/wp-content/uploads/ ディレクトリは、通常画像（JPEG、PNG、WebPなど）やPDFなどの静的ファイルのみが保存される場所です。このフォルダ配下に .php ファイルが存在する場合、ほぼ100%の確率で不正なWebシェルまたはバックドアです。
SSHが利用できる環境であれば、以下のコマンドを実行してアップロードディレクトリ内のPHPファイルを一括検索します。
find wp-content/uploads/ -type f -name "*.php"
もしファイルが見つかった場合は、パーミッションを確認の上、直ちにファイルを隔離または削除します。また、サーバーの設定や .htaccess を用いて、uploads ディレクトリ内でのPHP実行を禁止するルールを配置することが極めて効果的です。
# wp-content/uploads/.htaccess に配置するPHP実行禁止ルール
<Files *.php>
deny from all
</Files>
4-3. WP-CLIによるコアチェックサムの照合
SSH接続が許可されているサーバー環境では、WP-CLIのチェックサム照合機能を利用することで、WordPress公式の正規ファイルとローカルのファイルに差異がないかを数秒で機械的に検証できます。
wp core verify-checksums
ファイルが改ざんされている場合、以下のように該当ファイル名と警告が出力されます。
Warning: File doesn't verify against checksum: wp-includes/version.php
Warning: File doesn't verify against checksum: index.php
Error: WordPress installation doesn't verify against checksums.
公式ファイルと不一致が検出されたコアファイルは、WordPress公式サイトから同一バージョンの公式ZIPファイルをダウンロードし、手元でクリーンなファイルに差し替えます。
5. WordPressログイン履歴・活動ログプラグインの活用
WordPressは初期状態では「過去に誰が、いつ、どのIPアドレスからログインしたか」「誰が記事を編集・公開したか」という操作履歴をデータベースに永続保存していません。そのため、不正アクセスを検知・分析するには専用のセキュリティ・監査プラグインの活用が欠かせません。
5-1. 代表的な監査プラグインの選定と特徴
Simple History
管理画面内でのユーザーの操作履歴（ログイン成功、ログイン失敗、投稿の新規作成・編集、プラグインの有効化・無効化）をタイムライン形式で分かりやすく記録します。軽量で個人ブログにも導入しやすく、どのユーザー名でいつログインされたかを一目で追跡できます。
SiteGuard WP Plugin
日本国内のサーバー環境で広く利用されている国産セキュリティプラグインです。ログインページのURL変更（/wp-login.php の隠蔽）、画像認証（キャプチャ）、ログインアラートメール送信、ログイン詳細履歴（日時・接続元IP・成否・ユーザー名）の保存機能を備えています。
WP Activity Log
より高度で詳細な監査ログを提供するエンタープライズ対応プラグインです。パスワード変更、プロファイル更新、データベースの変更監視まで細かく記録でき、外部のSyslogやクラウド監視ツールへログを転送することも可能です。
5-2. ログから見つけ出すべき侵害パターン
プラグインのログ画面を確認する際は、以下の兆候に注目します。
短時間に集中する連続ログイン失敗
同一のIPアドレスまたは同一のユーザー名（admin やサイト作成者の名前）に対して、数秒間隔で何十回・何百回もログイン失敗（Failed Login）が記録されている場合、ブルートフォース攻撃やパスワードスプレー攻撃を受けています。
未知の接続元IPからのログイン成功
自分が普段アクセスしていない地域、または海外（アメリカ、ロシア、中国、東欧など）のIPアドレスから、管理者アカウントへのログイン成功（Successful Login）が記録されている場合、パスワードが完全に突破されたことを意味します。
深夜帯・活動時間外の管理者操作
自分が就寝している時間帯やPCを操作していない日時に、プラグインの新規有効化やテーマファイルの編集履歴が記録されている場合、侵入者による活動の確証となります。
6. wpX SpeedおよびwpXクラウド管理パネルでの調査と設定
エックスサーバー株式会社が提供するWordPress特化型クラウド「wpX Speed（現行サービス）」および旧「wpXクラウド」では、サーバーレベルでの強固なセキュリティ機能と管理パネルが用意されています。ここでは管理パネルで確認できる項目と、その仕様の違いを整理します。
6-1. 管理パネルで確認できるセキュリティ機能
wpXの管理パネル（WordPress設定 ＞ WordPressセキュリティ関連設定）では、以下の防御設定が稼働しているかを確認できます。
ダッシュボード アクセス制限
WordPress管理画面（/wp-admin 配下および /wp-login.php）へのアクセスについて、国外IPアドレスからの接続を一括で遮断する機能です。初期状態で「有効（ON）」になっています。海外旅行中や海外のVPN経由でログインしようとすると403エラーとなるため、もし海外から不正ログインされた形跡がある場合は、この設定が誤って「無効（OFF）」になっていないか確認してください。
ダッシュボード ログイン試行回数制限
短時間に連続してログイン失敗が繰り返された場合、接続元のIPアドレスを一定時間ブロックする機能です。機械的なブルートフォース攻撃をサーバー手前で強力に抑え込みます。
各種APIアクセス制限（XML-RPC / REST API / wlwmanifest.xml）
ピンバックの悪用や外部からの総当たり攻撃に使われやすいXML-RPC APIや、不要な情報収集を防ぐ各種APIの国外アクセスを個別に遮断できます。
WAF（Webアプリケーションファイアウォール）設定
SQLインジェクション、クロスサイトスクリプティング（XSS）、リモートファイルインクルード（RFI）など、Webアプリケーションの脆弱性を狙った攻撃パターンを検知して自動遮断します。
6-2. サーバー側エラーログの仕様と確認手順
wpXでは、サーバーパネルの「各種管理設定」＞「エラーログ」から、Webサーバー上で発生した直近のエラーログを確認・ダウンロードできます。
エラーログの確認手順
- 管理パネルにログインし、「インストール済みWordPress一覧」から対象ドメインの「設定」を開く
- 「各種管理設定」内にある「エラーログ」の確認・ダウンロードリンクをクリックする
- 表示行数を直近100行から最大10,000行まで選択して表示する
エラーログ調査の注意点と仕様
- エラーログは毎日午前3時（AM 3:00）に自動でクリアされます。昨夜発生した異常を調査する場合は、翌日の午前3時を過ぎる前に速やかにログを取得・保存する必要があります。
- エラーログに記録されるのは、PHPの構文エラーや致命的エラー（Fatal Error）、WAFやサーバー設定による403 Forbiddenなどの拒否履歴です。正常に処理されたHTTPリクエスト（ステータス200 OK）のアクセス履歴はエラーログには記録されません。
6-3. wpX Speedと旧wpXクラウドの仕様の違い
wpX Speed（現行サービス）とwpXクラウド（旧プラン）では、基本設計や提供機能に以下の違いがあります。
| 項目 | wpX Speed（現行プラン） | wpXクラウド（旧プラン） |
|---|---|---|
| アーキテクチャ | NVMe SSD採用・高速WordPress専用環境 | 仮想クラウドサーバー |
| ストレージ | 全プラン高速NVMe SSD | HDD / 初期SSD構成 |
| 管理パネル構造 | wpX Speed専用統合管理パネル | 旧wpXクラウド専用パネル |
| セキュリティ基本機能 | 同等のセキュリティに加えWAF機能の強化 | 国外IP制限、試行回数制限、API制限 |
| ログ確認画面 | エラーログ（最大10,000行、日次AM3時クリア） | エラーログ（日次クリア仕様） |
| 新規受付状況 | 提供中（随時機能アップデート実施） | 新規申込終了（既存ユーザーのみ運用） |
旧wpXクラウドを利用中のユーザーは、管理機能やハードウェア性能が向上したwpX Speedへの移行を検討することで、サーバー基盤の安全性とパフォーマンスをより高めることができます。
7. wpX・レンタルサーバーで確認できることと調査の限界
7-1. 生アクセスログ提供制限と事業者問い合わせの境界線
共用レンタルサーバーやマネージドWordPress環境の多くでは、サーバー全体の負荷軽減や容量管理の観点から、ApacheやNginxの「全件生アクセスログ（Raw Access Log）」を管理画面から常時ダウンロードする機能が提供されていない、あるいは直近短期間に限定されている場合があります。
そのため、「自力で調査できる範囲」と「サーバー事業者のサポートへ相談すべき範囲」の境界線を把握しておくことが極めて重要です。
自力で調査・対応できる範囲
- 管理画面上のユーザー一覧、投稿一覧、メディアライブラリの点検
- FTPやファイルマネージャーによるコアファイル、プラグイン、テーマ、
.htaccessの整合性確認 - 監査プラグイン（Simple History等）に記録されたログイン日時・接続元IPの確認
- wpX管理パネルにおける国外アクセス制限・WAF設定の点検と、直近エラーログの確認
- パスワード変更、SALTキーの再生成、不審なファイルの隔離
サーバー事業者への問い合わせ・調査依頼が必要な境界線
- サーバーパネルで確認できるエラーログよりも過去のログが必要で、侵害日時（いつ侵入されたか）をサーバー側アクセスログから特定したい場合
- サーバー自体から大量の不審な迷惑メールが送信されている（スパム踏み台化の警告を受けた）場合
- サーバー会社から「不正なアクセスを検知したため、アカウントを一時凍結・アクセス制限した」という通知を受けた場合
- ファイルを何度クリーンアップしても数時間後に不審なPHPファイルが別ディレクトリに自動再生成される場合（サーバー内の他領域やプロセスの侵害が疑われるケース）
サーバー事業者に問い合わせを行う際は、「異常を発見した正確な日時」「発生している現象（特定のURLにリダイレクトされる等）」「自分で行った一次対応（パスワード変更、不審ファイルの削除等）」を簡潔にまとめ、ログの調査や制限解除の手順について相談してください。
よくある質問（FAQ）
Q1. 不正アクセスされた場合、WordPressの再インストールだけで直りますか？
管理画面の「今すぐ再インストール」ボタンを押すだけでは直りません。このボタンはWordPressのコアファイルを上書きするだけであり、/wp-content/uploads/ 配下に隠された不正なPHPバックドアや、データベース（wp_users テーブル）内に作成された未知の管理者アカウントはそのまま残ってしまいます。コアの上書きに加え、アップロードフォルダの不審ファイル検査、データベースのユーザー点検、プラグイン・テーマの完全再配置を行う必要があります。
Q2. 不審なファイルを削除しても、しばらくすると復活してしまいます。なぜですか？
サーバー内の別の場所に「親となるバックドアスクリプト」や「cron（定期実行タスク）」が隠されている可能性が非常に高いです。攻撃者は検知を免れるため、目立たないディレクトリに自動復元スクリプトを仕掛け、主要なバックドアが削除されると自動で再生成する仕組みを作ります。ファイルの日付順ソートによる全ディレクトリ点検や、データベースの wp_options 内のスケジュールタスク（cron）の確認が必要です。
Q3. 改ざん調査中にサイトを公開したままでも大丈夫ですか？
リダイレクト被害やスパム記事の拡散が発生している場合、サイトをそのまま公開し続けると、訪問者にマルウェアを感染させたり、Googleなどの検索エンジンから「危険なサイト」としてブラックリスト登録（警告画面の表示）されたりするリスクがあります。調査・復旧作業中は、一時的にメンテナンスモードに設定するか、.htaccess で管理者自身のIPアドレス以外のアクセスを遮断（503エラー返却）して作業することをおすすめします。
Q4. セキュリティプラグインは複数導入したほうが安全ですか？
セキュリティプラグインをむやみに複数導入すると、ログイン制限やファイアウォール処理が競合し、管理画面にログインできなくなったり、サイトの表示速度が著しく低下したりするトラブルの原因になります。ログイン管理・履歴記録に特化したプラグイン（SiteGuard WP PluginやSimple History）と、ファイルスキャンに特化したプラグイン（Wordfence Security等）など、役割が重複しない組み合わせを厳選して1〜2個程度に留めるのが適切です。
まとめ
WordPressの不正アクセス調査は、思いつきでファイルを操作するのではなく、事実を1つずつ客観的に積み上げていく作業です。
- ユーザー一覧とデータベースを確認し、未知の管理者アカウントが存在しないか点検する
wp-config.php内の秘密鍵・SALTを再生成して、侵入者の既存ログインセッションを強制切断する- コアファイルのチェックサム照合を行い、
index.phpや.htaccessの改ざんを特定する /wp-content/uploads/配下に紛れ込んだPHPバックドアを一括検索して排除する- wpX Speedや旧wpXクラウドの管理パネルで国外アクセス制限やWAFの稼働状況を確認し、日次クリアされる前にエラーログを保全する
- 自力での原因特定が難しい場合やサーバー凍結時は、状況を正確に整理してサーバー事業者のサポートへ相談する
日頃からログイン履歴の記録と定期バックアップを習慣化し、万が一の事態にも落ち着いて対処できる体制を整えておきましょう。
次に読むおすすめ記事
WordPressだけでなく、個人で運用するサーバーやクラウド全体の不正アクセス調査入門や、総合的なセキュリティ対策については、以下のガイドもあわせて参考にしてください。
個人向けセキュリティ対策の全体像と必須設定は、以下の完全ガイドで詳しく解説しています。
