WordPressプラグインに潜むPHP実行型マルウェアの駆除・対策ガイド

最近、WP Super Cache、Akismet、Elementorといった人気WordPressプラグインが生成するファイルと酷似したファイル名・内容を持つ悪意あるファイルを、ハッカーが密かに仕込んでいるサイトが複数確認されました。これらのファイルに含まれるコードは、リダイレクトハック、サーバー上への不正ファイルの作成、お問い合わせフォームやメールマガジンへのスパム送信を引き起こし、最悪の場合はホスティング会社によるアカウント停止につながることもあります。本記事では、プラグインに潜むこの隠蔽マルウェアの実態と、その除去方法について詳しく解説します。

WP Super Cacheプラグインに潜む隠蔽マルウェアとは？

WP Super Cacheは、200万以上の有効インストール数を誇る、WordPressユーザーの間で広く利用されている無料キャッシュプラグインです。通常、このプラグインは wp-content/advanced-cache.php というパスにファイルを作成します。

しかしながら、当社エンジニアが最近クリーンアップを実施したサイト（同プラグインのバージョン1.2を使用）では、wp-includes/ms-advanced-cache.php という不審なファイルが発見されました。

このファイルのコードは、正規のプラグインファイル wp-content/advanced-cache.php と極めて類似しています。両ファイルの比較は以下の通りです。

ハッカーの狙いは、サイトのスキャンや修復を行う担当者を意図的に混乱させることにあります。悪意あるコードは正当なファイルに巧妙に偽装されており、正規のプラグインコードとよく似ているため、多くの無料マルウェアスキャナーでも検出されません。ところが、よく見るとハッカーは正規コードの大部分をコメントアウトしています。つまり、コメントアウトされていないアクティブな部分こそが、悪意あるコードなのです。

この隠蔽マルウェアは何をするのか？

プラグインに隠されたこのマルウェアは、ハッカーが侵害済みサイトのサーバー上のファイルへ悪意あるコードを書き込み、それを実行することを可能にします。これにより、ハッカーはリモートコード実行（RCE）脆弱性と同様に、サーバー上で任意の悪意あるPHPスクリプトを実行できるようになります。

サイトがこのマルウェアの影響を受けている可能性を示す兆候は以下の通りです。

• サイト訪問者がスパムサイトへリダイレクトされる（WordPressリダイレクトハック）
• お問い合わせフォームやメールマガジン登録フォームにスパムが大量送信される
• サーバー上に身に覚えのないファイルが見つかる
• ホスティング会社からサイトを停止された
• サイトの表示速度が極端に遅くなった

さらに厄介なことに、この悪意あるコードは実行直後に自動的に削除されるため、痕跡がほとんど残りません。

もしサイト内でこの隠蔽マルウェアを発見した場合、他にも感染ファイルが存在し、サイトがさらなる攻撃に晒されている可能性が高いといえます。最善の対応は、可能な限り速やかにマルウェアを完全除去し、再発防止策を講じることです。

WordPressから隠蔽マルウェアを除去する手順

1. バックアップを取得する

マルウェア駆除作業を開始する前に、現在のサイト一式とデータベースのバックアップを取得しておきましょう。作業中に問題が発生しても、この状態へ復元できます。バックアップは .zip 形式など圧縮ファイルとして保存することをおすすめします。

2. 感染ファイルを特定して削除する

この種のマルウェアはプラグインに紛れ込んでいるため、まずWordPress公式プラグインディレクトリから該当プラグインのオリジナル版をダウンロードし、サーバー上のファイルと比較することから始めましょう。不審なファイルが見つかったら削除します。あるいは、最新版をダウンロードして古いファイルをすべて置き換えるのも有効な方法です。

関連ガイド：WordPressマルウェア除去の完全マニュアル

3. Webサーバー全体をマルウェアスキャンする

このステップでは、見落とした感染ファイルがないかを確認します。ホスティング会社が提供するcPanelの「Virus Scanner」機能や各種マルウェアスキャナーを活用できるほか、AstraのWordPressサイトクリーンアップサービスなら確実な駆除が可能です。SQLインジェクション、クレジットカード情報窃取マルウェア、フィッシング攻撃、パスワードハック、プラグインの脆弱性など、あらゆるセキュリティ脅威の検出と対策をサポートします。もちろん、今回のような隠蔽マルウェアも例外ではありません。

今後の攻撃を防ぐために

1. プラグインをこまめに更新する

ハッカーは攻撃手法を絶えず進化させています。そのため、一度だけサイトを清掃しても十分な対策とはいえません。開発者はこうした脆弱性を修正したアップデートを随時リリースしているので、プラグインやテーマ、WordPress本体を常に最新の状態に保つことが、攻撃への最も迅速な防御策となります。

2. マルウェアスキャンを定期的に実施する

サイトの感染を未然に防ぐもう一つの有効手段は、マルウェアスキャンの定期実行をスケジュール化し、必要に応じて専門家によるセキュリティ監査を受けることです。

3. ファイアウォールを導入する

こうした感染を根本的に防ぐ最善策は、ファイアウォールの導入です。AstraのようなWebアプリケーションファイアウォール（WAF）を設置すると、サーバー上で作成・削除・改ざんされるファイルを常時監視するとともに、定期的なマルウェアスキャンも自動で実行します。当社のセキュリティスイートは、悪意あるリクエストをサイトに到達する前にブロックすることで、ソフトウェアに仮想パッチを適用し、サイトを自動的に保護します。これにより、マルウェア感染やハッキングの心配から解放されるのです。

Astra Security Suiteについて

Astraは、ハッカー、インターネット上の脅威、悪質なボットからWebサイトを守る必須のセキュリティスイートです。WordPress、OpenCart、Magentoなど主要CMSで稼働するサイト向けに、プロアクティブなセキュリティを提供しています。経験豊富なセキュリティチームが年中無休・24時間体制でサポートし、皆さまのご質問に丁寧にお答えします。