WordPressマルウェア駆除・改ざん復旧
WordPress本体・テーマ・プラグインの調査、改ざんファイルの修正、クリーンな状態への復旧を行います。不正リダイレクトやウイルス感染にも対応します。
こんなお悩みはありませんか？
- !WordPressに不審なファイルやユーザーがある
- !管理画面にログインできない
- !スマホだけ別サイトに飛ばされる
- !Search Consoleで警告が出た
- ① きっかけは1つ — 侵入口は多くの場合ひとつです
- ② サイト内に不正な仕組みが置かれ、見た目は普段どおりのまま維持されることがあります
- ③ そのサイトが迷惑メールの送信元や他サイトへの中継点（踏み台）として使われ、閲覧者・取引先・外部の評価機関へ影響が届くことがあります
駆除に含まれるもの
駆除には、再発防止の初期設定を含みます。
標準の完了報告（対応した内容と再発防止のポイント。原因は推定される入口まで）をお渡しします。
対応内容
WordPress全体の調査
本体・テーマ・プラグイン・データベース・.htaccessなどの改ざん有無を調査します。
改ざん修正・マルウェア駆除
改ざんされたファイルの修正、不正コードの除去、不要な管理ユーザーの削除などを行います。
クリーンな状態への復旧
正常な状態への復旧と、本体・プラグインの更新を行います。駆除には、再発防止の初期設定を含みます。標準の完了報告（対応した内容と再発防止のポイント。原因は推定される入口まで）をお渡しします。
対応の流れ
- 1簡易チェックでWordPress改ざん疑いを確認
- 2サーバー内部・WordPress本体の詳細調査
- 3改ざん修正・マルウェア駆除・復旧
- 4作業のあとに同じ点検をもう一度行い、直す前と直したあとの判定を並べてお渡しします
- 5再発防止の初期設定と、標準の完了報告をお渡しします
よくある質問
Q.WordPressが改ざんされた場合、復旧できますか？
A.多くのケースで復旧が可能です。WordPress本体・テーマ・プラグインの調査、改ざんファイルの修正、クリーンな状態への復旧を行います。被害規模により対応内容は変わります。まずは簡易チェックと、専門家による確認のご相談をおすすめします。
Q.スマホだけ別サイトに飛ばされる原因は何ですか？
A.User-Agentやリファラーを条件にした不正リダイレクトが仕込まれている可能性があります。.htaccessやテーマファイル、データベース、外部スクリプトなどに改ざんが及んでいることが多く、サーバー内部の調査が必要です。
Q.サーバー内部の調査は必要ですか？
A.正確な感染・改ざんの有無を判断するには必要です。簡易チェックは外部から見える範囲の確認にとどまるため、確定診断や駆除にはサーバー内部のファイルやログの調査を行います。
Q.費用はかかりますか？
A.外形の点検に費用はかかりません。専門家による確認（直す優先順位と次の一手の判断）は5,500円、マルウェア駆除・除去は33,000円〜、WordPress改ざん復旧は55,000円〜が目安です。被害状況や調査範囲により変動します。
Q.WordPressのプラグインが原因の場合も対応できますか？
A.対応できます。脆弱性のあるプラグインやテーマが入口になっていることがあります。除去、更新、代わりの案まで行います。原因は、推定される入口までを完了報告に書きます。
Q.バックアップ用プラグイン（UpdraftPlus など）が乗っ取りの入口になることはありますか？
A.あります。UpdraftPlus などのバックアッププラグインには、外部から複数サイトをまとめて操作する遠隔管理の仕組み（UpdraftCentral）を備えたものがあります。管理者アカウントやプラグインが不正に操作されると、この遠隔管理用の「接続キー」が第三者によって登録され、以後はパスワードを変更しても外部から操作し続けられる入口として悪用されることがあります。ご自身で確認する場合は、WordPress管理画面で UpdraftPlus の設定（高度なツール → UpdraftCentral）を開き、「既存のキーを管理」に見覚えのない接続キーが残っていないかをご確認ください。心当たりのないキーがあれば削除し、管理者パスワードと認証情報の見直しをおすすめします。なお、この接続キーは管理画面の中だけに表示されるため、外部から確認する本ツールの診断範囲には含まれません。改ざんや不正なユーザー・キーが広い範囲に及んでいる場合は、本体・テーマ・プラグイン・データベースを含めた調査と復旧が必要になることがあります。
Q.PHPのセキュリティ修正が公表されたあと、サイトの持ち主は何をすればいいですか？
A.2026-10-21、The PHP Group は、認証のない要求でプログラムが動く重大な修正を公表しました（CVE-2026-109618、CVE-2026-109619）。出典は https://www.php.net/archive/2026.php#2026-10-21-5 です。JPCERT/CC（https://www.jpcert.or.jp/at/2026/at260033.html）と IPA（https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html）は、2026-10-22に注意を出しました。対象は、8.2.35未満の8.2、8.3.36未満の8.3、8.4.27未満の8.4、8.5.12未満の8.5です。8.1以前には更新版が出ず、7.4と8.0と8.1には最小限の緩和だけがあります。緩和の手順は、ここには書きません。持ち主の側で先にできるのは、どのサイトでどの版のPHPが動いているかの把握（サーバー会社の管理画面や、WordPressの「サイトヘルス」で確認できます）と、更新をご自身で行うのかサーバー会社が行うのかの切り分けです。WordPress本体の自動更新では、PHPそのものは更新されません。更新したあとは、PHPを動かしているWebサーバーなどの再起動が必要になることがあります。本ツールの点検は、サーバーが応答の中でPHPの版を公開している場合に限り、外から見える版が修正より古いかを確認できます。版を公開していないサーバーや、OS側で独自に修正が当てられている版について、修正済みかどうかを外部から判定することはできません。版が見えないことは、問題が無いという意味ではありません。手順の詳細は、言語の版のページにまとめています。修正版へ更新したことだけでは、更新より前に入られたかどうかは分かりません。JPCERT/CC（2026-10-22、https://www.jpcert.or.jp/at/2026/at260033.html）は、痕跡が見つからないことは、攻撃が無かったことの証明にはならない、と書いています。更新と、痕跡の確認は、別のことです。
Q.PHPを修正版に更新したあと、ほかに確認しておくことはありますか？
A.あります。更新で塞がるのはこれから使われうる入口で、修正前に置かれた不正なファイルや改ざんは、更新しても残ります。過去の深刻なPHPの脆弱性（2024年のCVE-2024-4577など）では、公表から短い期間で悪用の試みが報告されています。更新が済んだら、点検で改ざんの兆候や外から見える設定の隙をもう一度点検することをおすすめします。結果をメールで受け取る際に「月1回、自動で見直す」を選んでおくと、判定や問題の種類が変わったときだけお知らせが届きます（いつでも停止できます）。日々の変化に早く気づきたい場合は、公開ページを毎日見張る継続監視が役立ちます。公開フォルダに見覚えのないPHPファイルが増えている、意図しない転送が起きているなどの兆候がある場合は、外からは確かめきれないため、専門家による確認やサーバー内部の調査をご検討ください。