2026年は、WordPress本体の脆弱性「wp2shell」や、PHPの脆弱性「PHP2Shell」など、WordPressに関わるセキュリティのニュースが相次ぎました。
そんなニュースを見て、「自分のサイトは大丈夫なのかな？」と気になった人も多いのではないでしょうか。
PHP2Shellのニュース見てから、自分のブログが知らんうちに乗っ取られてへんか心配で…。でも、何を見たらええんかわからへんのよね。
WordPressの改ざんや乗っ取りは、サイトの見た目が変わらないまま、裏側だけ書き換えられていることも多いのがやっかいなところです。
この記事では、初心者でもできる確認方法を「外から」「管理画面で」「サーバー側で」の3段階・11項目のチェックリストにまとめました。
改ざんを見つけたときにやることや、やってはいけないNG対応もあわせて解説します。
こんな人におすすめ
「最近のセキュリティのニュースを見て、自分のサイトが心配になった」
「WordPressのアップデートをしばらくサボっていた」
「サイトの様子がなんとなくおかしい気がする」
「改ざんされていないか、何をどう確認すればいいか知りたい」
WordPressの「改ざん・乗っ取り」とは？どんな被害がある？
WordPressの改ざんや乗っ取りとは、第三者がサイトに不正に入り込み、サイトの中身や設定を勝手に書き換えることです。
「ハッキング」と聞くと、トップページが派手に書き換えられるイメージがあるかもしれません。
しかし実際には、持ち主に気づかれないよう、こっそり悪用されるケースが少なくありません。
代表的な被害には、次のようなものがあります。
| 被害の種類 | どんなことが起きる？ |
|---|---|
| スパムページの追加 | ブランド品の偽物販売やギャンブルなど、身に覚えのないページが大量に作られる |
| 別サイトへの転送 | サイトを開いた人が、詐欺サイトなどに自動で飛ばされる |
| ウイルスの配布 | 訪問者のパソコンやスマホに、悪いプログラムを送り込む入り口にされる |
| 管理者アカウントの追加 | 攻撃者用の管理者が作られ、いつでも出入りできる状態にされる |
| 見た目の書き換え | トップページなどが攻撃者のメッセージに書き換えられる |
こうした被害が起きると、訪問者に迷惑がかかるだけでなく、Googleの検索結果に「このサイトはハッキングされている可能性があります」と表示されることもあります。
ブログやサイトの信頼に関わるので、早めに気づけるようにしておきたいですね。
こんな症状があれば要注意
まずは、改ざんや乗っ取りが疑われる「サイン」を確認しておきましょう。
改ざんを疑いたいサイン
「サイトを開くと、知らないサイトに飛ばされることがある」
「Googleの検索結果に、身に覚えのないページや外国語のタイトルが出てくる」
「ブラウザやセキュリティソフトから、危険なサイトだと警告される」
「管理画面に入れない、またはパスワードが勝手に変わっている」
「見覚えのないユーザーやプラグインが増えている」
「サーバー会社やGoogleから、セキュリティに関する連絡が届いた」
ひとつでも当てはまる場合は、この後のチェックを順番に進めてみてください。
今のところ症状がなくても、定期的な健康診断のつもりで確認しておくと安心です。
【外から確認】誰でもすぐできるチェック
最初は、サイトの「外側」から確認する方法です。
専門知識がなくても、ブラウザとGoogleのツールだけでできます。
① ログインしていない状態でサイトを開く
改ざんの中には、サイトの持ち主がログインしているときは正常に見え、一般の訪問者にだけおかしな動きをするものがあります。
そのため、ブラウザのシークレットウィンドウ（プライベートブラウズ）や、普段ログインしていないスマホでサイトを開いてみましょう。
Googleの検索結果から自分のサイトをクリックして開き、別のサイトに飛ばされないかを確認するのも有効です。
② Googleで「site:自分のドメイン」と検索する
Googleの検索窓に「site:」に続けて自分のドメインを入力すると、Googleに登録されている自分のサイトのページを一覧で確認できます。
site:example.com「example.com」の部分は、自分のサイトのドメインに置き換えてください。
検索結果に、書いた覚えのないページ、ブランド品の通販のようなタイトル、外国語のページなどが混ざっていないかをチェックします。
「site:example.com カジノ」のように、スパムでよく使われる言葉を組み合わせて検索すると見つけやすくなります。
③ Search Consoleの「セキュリティの問題」を確認する
Google Search Console（サーチコンソール）にサイトを登録している場合は、左メニューの「セキュリティと手動による対策」から、次の2つを確認しましょう。
- セキュリティの問題：ハッキングされたコンテンツや、マルウェアなどが見つかった場合に表示される
- 手動による対策：Googleのポリシー違反があった場合に表示される
Googleのヘルプによると、問題が見つかっていなければ「セキュリティの問題」には緑色のチェックマークが表示されます。
あわせて、「設定」→「ユーザーと権限」に見覚えのない所有者が追加されていないかも確認してください。
Googleのヘルプでは、覚えのない所有者が追加されている場合、サイトがハッキングされている可能性があると説明されています。
④ Googleセーフブラウジングの透明性レポートで調べる
Search Consoleを使っていない場合は、Googleの「セーフ ブラウジングに関する透明性レポート」が便利です。
サイトのURLを入力するだけで、Googleがそのサイトを「危険なサイト」と判断しているかどうかを確認できます。
ここで問題が表示された場合は、すでにブラウザで警告が出ている可能性があるので、早めの対応が必要です。
外からのチェックだけでも、けっこういろいろわかるんやね。site:検索、さっそくやってみるわ。
【管理画面で確認】WordPressの中をチェック
次は、WordPressの管理画面にログインして確認する方法です。
2026年7月のwp2shellの際にも、修正版への更新とあわせて、覚えのない管理者ユーザーやプラグインがないかを確認するよう呼びかけられていました。
⑤ ユーザー一覧に見覚えのない管理者がいないか
管理画面の「ユーザー」→「ユーザー一覧」を開き、権限グループが「管理者」のユーザーを確認します。
自分が作った覚えのない管理者がいたら、乗っ取りを強く疑うべきサインです。
攻撃者は、「admin2」「wpadmin」「support」など、それらしい名前でアカウントを作ることがあるので注意してください。
⑥ プラグイン・テーマに見覚えのないものがないか
「プラグイン」→「インストール済みプラグイン」と、「外観」→「テーマ」を開き、入れた覚えのないものがないか確認します。
攻撃者は、裏口として使うプログラムを、ふつうのプラグインのような名前で設置することがあります。
心当たりのないものがあれば、名前で検索して正規のプラグインかどうかを調べてみましょう。
⑦ 投稿・固定ページに覚えのない記事がないか
「投稿」と「固定ページ」の一覧を開き、書いた覚えのない記事やページが増えていないか確認します。
公開済みだけでなく、「下書き」や「非公開」になっているものもチェックしておきましょう。
また、自分の記事の中に、見覚えのないリンクやコードが埋め込まれていないかも確認しておくと安心です。
⑧ 「設定」→「一般」のURLとメールアドレスが変わっていないか
「設定」→「一般」を開き、次の項目が自分の設定したとおりになっているか確認します。
- WordPressアドレス（URL）とサイトアドレス（URL）
- 管理者メールアドレス
- 「だれでもユーザー登録ができるようにする」のチェック
特に管理者メールアドレスが書き換えられていると、パスワードを再設定しようとしても、そのメールが攻撃者に届いてしまいます。
ユーザー登録を受け付けるつもりがないのにチェックが入っていたら、外しておきましょう。
【サーバー側で確認】少し踏み込んだチェック
ここからは、レンタルサーバーの管理画面やFTPソフトを使う、少し上級者向けのチェックです。
ファイルを見るだけなら壊れることはありませんが、中身を書き換えたり削除したりするのは、バックアップを取ってからにしてください。
⑨ 最近書き換えられたファイルがないか
FTPソフトやサーバーのファイルマネージャーでWordPressのフォルダを開き、ファイルの「更新日時」を見てみましょう。
自分が何も作業していない日に書き換えられたファイルがあれば、改ざんの可能性があります。
WordPress.orgの解説では、特に次のようなファイルを重点的に確認するよう案内されています。
- .htaccess（サイトの転送ルールなどを書くファイル）
- index.php
- テーマの header.php、footer.php、functions.php
また、画像などを保存する「wp-content/uploads」フォルダには、通常PHPファイルは置かれません。
ここに見覚えのない「.php」ファイルがあれば、裏口用のプログラムの可能性があるので注意が必要です。
FTPソフトの使い方は、こちらの記事で解説しています。
⑩ レンタルサーバーのセキュリティ機能とログを見る
レンタルサーバーによっては、ウイルスチェックや改ざん検知などのセキュリティ機能が用意されています。
契約しているサーバーの管理画面で、こうした機能の結果やお知らせが届いていないか確認しましょう。
また、アクセスログやエラーログを見ると、管理画面への大量のログイン試行など、不審なアクセスの跡が見つかることもあります。
⑪ セキュリティスキャンのツールを使う
自分の目だけで確認するのが不安な場合は、スキャン用のツールを使う方法もあります。
WordPress.orgの「サイトがハッキングされた場合」のページでは、次のようなツールが紹介されています。
| 種類 | ツールの例 | 特徴 |
|---|---|---|
| WordPressのプラグイン | Wordfence、Sucuri など | サイトの中のファイルをスキャンして、不審なコードを探す |
| 外部のスキャンサービス | VirusTotal、Sitecheck など | URLを入力するだけで、外からサイトの安全性を調べられる |
ただし、ツールで「問題なし」と出ても、すべての改ざんを見つけられるとは限りません。
ここまでの①〜⑩のチェックと組み合わせて使うのがおすすめです。
改ざんを見つけたときにやること
もし改ざんの跡を見つけてしまったら、まずは落ち着いてください。
WordPress.orgの解説をもとに、初心者がやるべきことを順番にまとめると次のとおりです。
- 状況を記録する：気づいた症状と日時、直前に行った作業（プラグインの追加など）をメモする
- レンタルサーバー会社に相談する：サーバー側で把握している情報や、復旧の手助けを得られることがある
- パソコンもウイルスチェックする：自分のパソコンが侵入の入り口になっている可能性もある
- すべてのパスワードを変更する：WordPress、サーバー管理画面、FTP、データベースなど、関係するものをすべて変える
- 現状のバックアップを取る：調査のために、修復前の状態も保存しておく
- 改ざんを取り除く・復元する：改ざん前のバックアップから戻すか、WordPress本体のファイルを公式のものに置き換える
- WordPress・テーマ・プラグインを最新にする：侵入の原因になった脆弱性をふさぐ
- Search Consoleで審査をリクエストする：Googleに警告を出されている場合は、修正後に審査を依頼する
自分で対応するのが難しいと感じたら、無理をせず、サーバー会社や専門の業者に相談するのも大切な判断です。
管理画面に入れなくなってしまった場合は、こちらの記事も参考にしてください。
やってはいけないNG対応
あわてて対応すると、かえって被害を広げてしまうことがあります。
次のような対応は避けましょう。
不審なユーザーを削除しただけで終わりにする
NG例：見覚えのない管理者ユーザーを削除して、「これで解決」と安心する。
OK例：ユーザーを削除したうえで、パスワードの変更、不審なファイルの確認、WordPressの更新まで行う。
管理者が勝手に作られていたということは、どこかに侵入口があるということです。
侵入口や裏口のプログラムが残っていると、また同じことが起きてしまいます。
原因を調べずにバックアップから戻すだけにする
NG例：改ざん前のバックアップに戻したら直ったので、そのまま使い続ける。
OK例：バックアップから戻したあと、すぐにWordPress・テーマ・プラグインを最新にし、パスワードも変更する。
古い状態に戻すだけでは、侵入された原因の脆弱性も一緒に戻ってしまいます。
怪しいページをそのままブラウザで開く
NG例：site:検索で見つけた不審なページを、確認のために何度もクリックして開く。
OK例：URLだけをメモしておき、Search ConsoleのURL検査ツールや、外部のスキャンサービスで中身を確認する。
Googleのヘルプでも、感染したページはブラウザで直接開かずに確認することが推奨されています。
怪しいユーザー消したら終わりやと思ってたわ…。裏口を全部ふさがなあかんのやね。
再発を防ぐための対策
改ざんを防ぐには、日ごろの基本的な対策がいちばん効果的です。
WordPress・テーマ・プラグインを常に最新にする
改ざんの多くは、古いバージョンに残った脆弱性を突かれて起こります。
自動更新を有効にしつつ、更新前にはバックアップを取る習慣をつけましょう。
プラグインは必要なものだけにする
使っていないプラグインは、停止するだけでなく削除しておきましょう。
長い間更新されていないプラグインも、脆弱性が放置されている可能性があるので見直しの対象です。
ログインを強くする
管理画面のパスワードは、ほかのサービスと使い回さず、長くて推測されにくいものにしましょう。
二段階認証を設定しておけば、パスワードが知られても不正ログインされにくくなります。
定期的にこの記事のチェックを行う
月に1回など、日にちを決めて今回のチェックリストを見直す習慣をつけると、万が一のときにも早く気づけます。
最近のWordPressのセキュリティ事情については、こちらの記事でもまとめています。
まとめ
WordPressの改ざんや乗っ取りは、見た目が変わらないまま裏側だけ書き換えられることも多いため、「おかしくなってから気づく」のではなく、定期的に確認することが大切です。
今回紹介した11項目のチェックリストをおさらいしておきましょう。
| 段階 | チェック項目 |
|---|---|
| 外から確認 | ① ログインしていない状態でサイトを開く ② Googleで「site:」検索する ③ Search Consoleの「セキュリティの問題」と所有者を確認する ④ セーフブラウジングの透明性レポートで調べる |
| 管理画面で確認 | ⑤ 見覚えのない管理者ユーザー ⑥ 見覚えのないプラグイン・テーマ ⑦ 覚えのない投稿・固定ページ ⑧ 「設定」→「一般」のURL・メールアドレス |
| サーバー側で確認 | ⑨ 最近書き換えられたファイル ⑩ サーバーのセキュリティ機能とログ ⑪ セキュリティスキャンのツール |
まずは外からのチェックと管理画面のチェックだけでも、今日から始めてみてください。
全部チェックしたら、うちのブログは大丈夫やったわ！これからは月1でチェックする習慣にするわ。
よくある質問（FAQ）
- サイトの見た目が普段どおりなら、改ざんされていないと考えていいですか？
-
見た目が普段どおりでも安心はできません。持ち主がログインしているときだけ正常に見える改ざんや、スパムページをこっそり追加する改ざんもあるため、この記事のチェックリストで確認するのがおすすめです。
- 小さな個人ブログでも狙われるのですか？
-
狙われる可能性はあります。攻撃の多くは、脆弱性のあるサイトを機械的に探して自動で行われるため、サイトの規模や知名度は関係ないことが多いです。
- どのくらいの頻度でチェックすればいいですか？
-
月に1回程度、日にちを決めて確認するのがおすすめです。大きな脆弱性のニュースが出たときや、サイトの様子がおかしいと感じたときは、その都度チェックしましょう。
- セキュリティプラグインを入れていれば、チェックは不要ですか？
-
セキュリティプラグインは心強い味方ですが、すべての改ざんを見つけられるとは限りません。プラグインのスキャン結果に加えて、ユーザー一覧やSearch Consoleなどを自分の目でも確認するのが安心です。
- 改ざんされたかもしれないとき、まず何をすればいいですか？
-
まずは気づいた症状と日時をメモし、契約しているレンタルサーバー会社に相談しましょう。あわせて、WordPressやサーバー管理画面などのパスワードを変更することも大切です。
- Googleの検索結果に「ハッキングされている可能性があります」と出たらどうすればいいですか？
-
まずはサイトの改ざんを取り除き、WordPressなどを最新にして原因をふさぎます。すべての問題を直したあとで、Search Consoleの「セキュリティの問題」から審査をリクエストしましょう。表示が消えるまでには数日以上かかることがあります。
関連記事
WordPressのほかのトラブルについては、こちらの記事もあわせてご覧ください。