【緊急注意喚起】WordPressサイトにJavaScript型バックドアが大量挿入される攻撃が発生中！
2025年3月、1,000以上のWordPressサイトが外部からの攻撃によりJavaScript型のバックドアを埋め込まれるという深刻なセキュリティインシデントが報告されています。この攻撃では、悪意あるJavaScriptコードが複数箇所に挿入され、サイトが乗っ取られるリスクにさらされています。
被害の概要
● 管理者の知らないうちに悪意のあるコードが埋め込まれる
● サイト訪問者が 不審な外部サイトへリダイレクト されることがある
● 攻撃者がいつでも再侵入できる「持続的アクセス（Persistence）」機能を持つ
● テーマファイルやプラグインだけでなく、データベース内部にもコードが潜伏するため、一般的なセキュリティチェックだけでは検出が困難
なぜこの攻撃が危険なのか？
通常のファイル改ざん検出では見つけられない場所（例：wp_optionsテーブルやJavaScriptファイル内部）にコードが潜伏しており、攻撃者は一度の侵入で複数のバックドアを作成します。見えないところからずっと監視・操作されている状態とも言えます。
現時点での有効な対策
被害に遭っていない場合でも、今すぐ下記の対策を実施してください。
1. WordPress本体・プラグイン・テーマの最新版への更新
常に最新バージョンを保つことで、既知の脆弱性を突かれないようにします。
2. 信頼性のあるセキュリティプラグインを導入
● Wordfence
https://wordpress.org/plugins/wordfence/
● Solid Security
https://wordpress.org/plugins/better-wp-security/
※いずれも公式プラグインです。ダッシュボード・プラグインから追加が可能です。なお、セキュリティ系のプラグインを二つ以上導入するとプラグイン同士のバッティング（緩衝）をする可能性があり、サイトの動作も重くなりますのでご注意ください。
3. サイト全体のマルウェアスキャン
ファイル改ざん・DB改変のスキャンを定期的に行いましょう。Wordfenceの「Scan」機能が有効です。
4. 不審なJavaScriptの検出
footer.phpやfunctions.php、カスタムJavaScriptファイル内に不審な外部呼び出しやeval関数がないか確認してください。
5. 定期的なバックアップ
攻撃を受けた場合、復旧の鍵は「正常な状態のバックアップ」です。自動バックアップをおすすめします。
まとめ
今回の攻撃は、表面的には何も起きていないように見えるため、気づかないまま長期間放置されてしまう危険性があります。
WordPressを安全に運用するには、「気づいた時に対応する」ではなく、「常に先手を打つ」意識が重要です。
WordPress救急隊では、被害診断や復旧対応も承っております！
「WordPress救急隊」では、今回のようなマルウェア感染の診断や、改ざん箇所の特定、バックドアの除去、サイトの復旧まで一貫して対応しております。「もしかして感染しているかも？」「不審な動きがあるけど対処法がわからない」といった場合でも、早期対応が被害の拡大を防ぐ鍵となりますので、お気軽にご相談ください。
