※この記事はプロモーション（広告）を含みます。
こんにちは、めえです！
2026年10月の PHP の脆弱性「php2shell」や、7月の WordPress 本体の脆弱性「wp2shell」のように、ブログに関係する脆弱性のニュースが続いています。
サーバー会社が修正してくれて一安心……と思ったあとに、気になるのがこれです。
「修正される前に、もう入られていたりしないよね？」
僕も WordPress でブログをやっているので、ニュースを見るたびにちょっと不安になります。
先に結論を書くと、こうです。
- 初心者でも、WordPress の管理画面とサーバーの画面だけで5つチェックできる
- 何も見つからなければ、普段の対策を続けるだけで OK
- 怪しいものを見つけたら、自分で消す前にサーバー会社に相談
この記事では、プラグインを入れなくてもできるチェック5つと、見つけたときの対応、普段からやっておく対策をまとめます。
※この記事は 2026年10月23日時点の情報です。
チェックは5つ。所要時間は30分くらい
脆弱性のニュースのあとに見ておきたいのは、次の5つです。
| どこを見る | 怪しいサイン | |
|---|---|---|
| ① | WordPress の「ユーザー」 | 見覚えのない管理者がいる |
| ② | 記事・固定ページ・プラグイン | 知らないページ・知らないプラグインがある |
| ③ | サーバーのファイル | 見覚えのない PHP ファイルがある |
| ④ | サイトの表示・検索結果 | 知らないサイトに飛ぶ、検索結果に知らないページが出る |
| ⑤ | Google Search Console | 「セキュリティの問題」「手動による対策」に何か出ている |
①②⑤は管理画面を開くだけなので、すぐ終わります。③④は少し時間がかかりますが、慣れれば30分くらいで全部見られます。
チェック① ユーザー一覧：見覚えのない管理者がいないか
乗っ取りでよくあるのが、勝手に管理者アカウントを作られるパターンです。管理者を作っておけば、あとから何度でもログインできてしまうからです。
どこを見る
- WordPress の管理画面で「ユーザー」→「ユーザー一覧」を開く
- 上の「管理者」をクリックして、管理者だけを表示する
- ユーザー名・メールアドレスを1人ずつ見る
怪しいサイン
- 自分で作った覚えのないユーザーがいる
- 「admin」「wpadmin」のような、それっぽい名前の管理者がいる
- メールアドレスが知らないドメインになっている
- 「管理者」の人数が、思っているより多い
一人でブログをやっているなら、管理者は基本的に自分1人のはずです。
見つけたら
すぐに消したくなりますが、先に画面のスクショを撮って、ユーザー名とメールアドレスを記録しておきましょう。サーバー会社に相談するときに役立ちます。そのうえで、下の「怪しいものを見つけたら」の順番で対応します。
チェック② 記事・固定ページ・プラグイン：知らないものが増えていないか
どこを見る
| 見るところ | 見方 |
|---|---|
| 投稿 | 「投稿」→「投稿一覧」。「すべて」「下書き」「ゴミ箱」も見る |
| 固定ページ | 「固定ページ」→「固定ページ一覧」 |
| プラグイン | 「プラグイン」→「インストール済みプラグイン」 |
怪しいサイン
- 書いた覚えのない記事・固定ページがある（英語や、薬・ブランド品・カジノなど、ブログと関係ない内容が多い）
- 自分の記事に、知らないリンクや文章が足されている
- 入れた覚えのないプラグインがある
- プラグイン一覧の上に、見覚えのない「使用必須」というタブが出ている
「使用必須」は、普通のプラグインとは別の場所に置かれ、一覧から止められないプラグインです。サーバー会社や制作会社が入れていることもあるので、身に覚えがなければサーバー会社に確認しましょう。
見つけたら
記事やページは、消す前にスクショと URL を記録します。知らないプラグインは、「無効化」までにしておいて、削除はサーバー会社に相談してからにしましょう。
チェック③ サーバーのファイル：見覚えのないPHPファイルがないか
ここは少し難しいですが、いちばん大事なチェックです。
攻撃する人は、あとから何度でも入れるように「裏口」となる PHP ファイルを置くことがあります。WordPress のパスワードを変えても、このファイルが残っていると、また入られてしまいます。
どこを見る
サーバーのファイルマネージャー（または FTP ソフト）で、WordPress のフォルダを開きます。
| 見るところ | ポイント |
|---|---|
| `wp-content/uploads/` | 画像を置くフォルダ。普通は画像しか入らないので、`.php` のファイルがあったら怪しい |
| WordPress のいちばん上のフォルダ | `wp-config.php` などの近くに、見覚えのない名前の `.php` ファイルがないか |
| ファイルの更新日時 | 自分が何もしていない日に、まとめて変わったファイルがないか |
ファイルマネージャーで「更新日時」の列をクリックすると、新しい順に並べ替えられることが多いです。脆弱性が公表された前後の日付を中心に見てみましょう。
怪しいサイン
- `uploads` の中に `.php` ファイルがある
- 意味の分からない英数字の名前（例：`x7k2.php` のようなもの）の PHP ファイルがある
- WordPress 本体のファイルが、自分が何もしていない日に変わっている
見つけたら
自分では消さないのがおすすめです。WordPress に必要なファイルを間違えて消すと、ブログが表示されなくなります。また、裏口が1つとは限りません。ファイル名と場所を記録して、サーバー会社に相談しましょう。
ちなみに、WordPress やプラグインを更新した日は、たくさんのファイルの更新日時が変わります。更新した日と重なっているなら、まず心配いりません。
チェック④ サイトの表示・検索結果：おかしな動きがないか
どこを見る
| 見るところ | 見方 |
|---|---|
| パソコンの表示 | ブラウザのシークレットウィンドウ（ログインしていない状態）で、トップページと記事を数ページ開く |
| スマホの表示 | スマホでも同じように開く。Wi-Fi を切ってモバイル回線でも見られるとなおよい |
| 検索結果 | Google で「site:自分のドメイン」（例：`site:example.com`）と検索する |
シークレットウィンドウで見るのは、改ざんの中には、ログインしている管理者には普通に見せて、読者にだけおかしな動きをするものがあるからです。
怪しいサイン
- ページを開くと、知らないサイトに勝手に飛ばされる
- スマホだけ、変な広告や「当選しました」のような画面が出る
- 検索結果に、書いた覚えのないページや、知らない言語・内容のタイトルが並んでいる
- 検索結果のタイトルや説明文だけが、勝手に変わっている
見つけたら
飛ばされた先の URL と、おかしな検索結果をスクショで記録します。飛ばされた先のサイトでは、何もクリックしないでください。
チェック⑤ Search Console：「セキュリティの問題」が出ていないか
Google Search Console（サーチコンソール）を入れている人は、Google がハッキングを見つけたときに知らせてくれます。
どこを見る
- Search Console を開く
- 左のメニューの「セキュリティと手動による対策」を開く
- 「セキュリティの問題」と「手動による対策」をそれぞれクリック
怪しいサイン
問題がなければ、緑のチェックマークが表示されます。何か出ている場合は、Google が次のような問題を見つけたということです。
| 分類 | どんな問題か |
|---|---|
| ハッキングされたコンテンツ | 勝手にページや文章・リンクを足されている |
| マルウェアや望ましくないソフトウェア | 読者の端末に害のあるプログラムが仕込まれている |
| ソーシャル エンジニアリング | 読者をだまして、個人情報を入力させたりするページがある |
問題が見つかると、検索結果に警告が付いたり、ブラウザで警告の画面が出たりすることがあります。読者が来なくなるので、早めの対応が必要です。
見つけたら
レポートに、問題のあるページの例が出ます。それを記録して、下の流れで対応します。直したあとは、同じレポートから Google に「審査をリクエスト」します。
Search Console をまだ入れていない人は、この機会に入れておくのがおすすめです。登録したメールアドレスに、問題を知らせるメールも届きます。
怪しいものを見つけたら：やる順番
慌てて全部消したくなりますが、順番が大事です。
| 順番 | やること | ポイント |
|---|---|---|
| 1 | 記録する | スクショ、URL、ファイル名、見つけた日時をメモ |
| 2 | サーバー会社に相談する | 記録を添えて問い合わせる。サーバー側で調べてもらえることがある |
| 3 | パスワードを変える | WordPress（管理者全員）、サーバーの管理画面、FTP、データベース。データベースのパスワードは、サーバー会社の案内に沿って変える |
| 4 | バックアップから戻す | 入られる前の日付のバックアップを選ぶ。どの日なら大丈夫か分からないときは、サーバー会社に聞く |
| 5 | 入口をふさぐ | WordPress・プラグイン・テーマ・PHP を最新に。戻しただけでは、同じ弱点からまた入られる |
| 6 | 読者への影響を考える | お問い合わせフォームなどで個人情報を預かっていた場合は、漏れた可能性がないかサーバー会社と確認する |
ConoHa WING もエックスサーバーも、毎日の自動バックアップ（過去14日分）から戻せます。逆に言うと、14日より前に入られていたら、自動バックアップでは戻せないことがあります。チェックは、ニュースを見たら早めにやっておきましょう。
普段からやっておく対策
何も見つからなかった人は、ここからが本番です。次の対策を続けておけば、ニュースのたびに慌てずに済みます。
| 対策 | 理由 |
|---|---|
| WordPress・プラグイン・テーマを最新にする | 弱点の修正を受け取れる（wp2shell は WordPress の更新で直った） |
| 使っていないプラグイン・テーマを消す | 更新し忘れたものが入口になりやすい |
| PHP のバージョンを新しくする（8.3 以上） | サポートが終わった PHP は、新しい弱点が直らない |
| 強いパスワードにする | 総当たりで当てられないように。サイトごとに変える |
| 2段階認証を使う | WordPress は標準では付いていないので、プラグインで追加する。サーバーの管理画面も、2段階認証やパスキーが使えるなら設定する |
| 自動バックアップがあるか確認する | いざというときに戻せる |
| サーバーの WAF・WordPress 向けのセキュリティ機能を使う | 攻撃の一部を入口で止められる |
PHP のバージョンの確認・変え方は、こちらで詳しく書いています。
→ 【内部リンク：③ WordPressのPHPバージョンを確認・変更する方法】
サーバーのセキュリティ機能を確認しておこう
レンタルサーバーには、WordPress を守る機能が付いていることが多いです。ON になっているか、一度管理画面で見ておきましょう。
| サーバー | 公式サイトで紹介されている主な機能 |
|---|---|
| ConoHa WING | WAF、ログイン回数制限、海外アクセス制限、IPアクセス制限、自動バックアップ（14日分） |
| エックスサーバー | WAF設定、WordPressセキュリティ設定（国外アクセス制限・ログイン試行回数制限など）、自動バックアップ（14日分） |
ただし、国外アクセス制限などを ON にすると、海外旅行中や、一部のツールからは管理画面に入れなくなることがあります。ON にしたあとに困ったら、設定を見直しましょう。
やっても効果が薄いこと・やらないほうがいいこと
不安なときにやりがちですが、あまり効かない、または逆効果になりやすいものです。
| やりがちなこと | なぜよくないか |
|---|---|
| セキュリティ系プラグインを入れて安心する | プラグインは入れたあとを守るもの。入れる前に置かれた裏口までは、見つけきれないことがある |
| パスワードだけ変えて終わりにする | 裏口のファイルが残っていると、パスワードに関係なくまた入られる |
| 怪しいファイルを自分で片っ端から消す | WordPress に必要なファイルを消して表示されなくなることがある。裏口が残ることもある |
| 慌ててサーバーを乗り換える | 引っ越しのときに、裏口のファイルごと持っていってしまうおそれがある。まずは今のサーバー会社に相談 |
| ルーターの電源を切る | 問題はサーバー側なので、自分の家のネットを切ってもブログは守れない |
サーバー選びで見ておきたいところ
これからブログを始める人や、サーバーを見直したい人は、料金や速さだけでなく、次のところも見ておくと安心です。
| 見るところ | 理由 |
|---|---|
| 自動バックアップがあるか（何日分か） | 入られたときに戻せる |
| WAF や WordPress 向けのセキュリティ機能があるか | 攻撃の一部を入口で止められる |
| PHP のバージョンを管理画面で切り替えられるか | 古いバージョンから自分で移れる |
| 緊急時のお知らせが分かりやすいか | 今回の php2shell のように、何が起きているかすぐ分かる |
ConoHa WING とエックスサーバーの対応は、それぞれこちらにまとめています。
- 【内部リンク：① ConoHa WINGのphp2shell対応まとめ】
- 【内部リンク：② エックスサーバーのphp2shell対応まとめ】
PR
このブログは ConoHa WING で動いています。自動バックアップ・WAF・PHP の切り替えが最初からそろっているので、初心者でも管理しやすいです。
2社のちがいが気になる人はこちら。
→ ConoHa WINGとエックスサーバー、どっち？契約者が料金・機能を比較
まとめ：ニュースを見たら5つチェック。何もなければ普段の対策を
- 脆弱性のニュースのあとは、ユーザー・ページとプラグイン・サーバーのファイル・サイトの表示・Search Console の5つを見る
- いちばん見落としやすいのは、`wp-content/uploads` の中の PHP ファイル
- 怪しいものを見つけたら、記録 → サーバー会社に相談 → パスワード変更 → 入られる前のバックアップから戻す → 入口をふさぐ
- 自分でファイルを消したり、慌てて乗り換えたりしない
- 何もなければ、更新・PHP のバージョン・バックアップ・WAF の普段の対策を続けるだけで OK
チェックは一度やってみると、次からは迷わずできるようになります。ニュースを見て不安になったら、まずは①のユーザー一覧だけでも開いてみてください！
関連記事
- php2shellとは？PHP脆弱性の影響とWordPressの対策4つを図解
- 【内部リンク：① ConoHa WINGのphp2shell対応まとめ】
- 【内部リンク：② エックスサーバーのphp2shell対応まとめ】
- 【内部リンク：③ WordPressのPHPバージョンを確認・変更する方法】
- 【内部リンク：④ wp2shellとは？WordPress本体の脆弱性とphp2shellとのちがい】
コメント