夏休み明け、久しぶりに会社のホームページを確認した。
ところが、
ホームページが表示されない。
あるいは、
- 見たことのないページが増えている
- Google検索に知らないページが表示される
- WordPressに知らないユーザーがいる
- 別のサイトへ勝手に転送される
- サーバー会社から警告が来ている
- サイトそのものが消えている
こんな状態になっていたら、かなり焦ると思います。
特に、4月に前任者からホームページを引き継いだものの、その後ほとんど触っていないという場合、「私は何もしていないのに、なぜ？」となるのも無理はありません。
WordPressは、触っていなくても攻撃されます
WordPressは、担当者がログインして操作しなければ問題が起きない、というものではありません。
実際、2026年7月17日、WordPress本体に「wp2shell」と呼ばれる重大な脆弱性が公表されました。
影響を受けるバージョンでは、ログインしていない攻撃者が、WordPressのプログラムを遠隔から実行できる可能性がありました。WordPress側は緊急の修正版を公開し、自動更新による強制更新も行いました。
そして、修正版の公開後には実際の攻撃が確認されています。 国内のセキュリティ会社の観測では、7月18日から26日までの9日間で、wp2shellを狙った攻撃通信が約195万件検知されました。
つまり、これは「いつか攻撃されるかもしれない」という話ではありません。
脆弱性が公開され、修正版が出た直後から、世界中のWordPressが実際に攻撃対象になっています。
また、サーバーによってはWordPress本体やプラグインが自動更新されない場合もあります。WordPress公式やIPAも、環境や設定によっては自動更新が有効になっていなかったり、更新に失敗している可能性があるとして注意を呼びかけています。
「ホームページを何年も触っていないから大丈夫」ではありません。
むしろ、長期間放置されているサイトほど、知らないうちに古い状態になっている可能性があります。
公開していないWordPressも安心とは限りません
意外と見落とされるのが、現在公開していないWordPressです。
以前使っていたサイト、リニューアル前のWordPress、テスト用に設置したWordPressなどがサーバーに残っていないでしょうか。
誰も見ていないから大丈夫、と思ってしまいがちですが、インターネットからアクセスできる状態なら、攻撃対象になる可能性があります。
そして、そこで感染したファイルが、同じサーバー内の別のサイトに影響することもあります。
「今は使っていないから」と放置するのは危険です。
いきなり削除・更新しないでください
すでに不正アクセスや感染が疑われる場合、
「とりあえずWordPressを最新版にする」
「怪しいファイルを削除する」
だけでは解決しないことがあります。
すでに不正なファイルを設置されていたり、管理者アカウントを追加されていたりする可能性があるためです。
まずは現在の状態を確認し、何が起きているのかを調べることが大切です。
「何が起きているのか分からない」でも構いません
- 前任者から引き継いだばかり
- 制作会社と連絡が取れない
- 誰が管理していたのか分からない
- サーバーのこともWordPressのことも分からない
- 久しぶりに確認したらサイトが消えていた
- 改ざんされたのか、単に壊れたのかも分からない
そんな状態でも、まずはご相談ください。
WordPress本体、プラグイン、テーマ、PHP、サーバーなどを確認し、何が起きているのか、何をする必要があるのかを整理するところから対応しています。
「ホームページがおかしい。でも、どこに相談すればいいのか分からない」
そんな段階でも構いません。