電波の道を、あなたのもとに

使っていないWordPressは「消す」のが一番の対策だった ― 自分のサイトで行った手順

公開日: 2026年10月30日 ／ 分類: 業務改善

電道のホームページは、2026年9月にWordPressから手書きのHTMLへ作り直しました。表に出ているページは新しくなりましたが、点検してみると、旧WordPressがサーバーに残ったまま動いていました。ログイン画面も、外から普通に開ける状態でした。

ホームページを作り直したあと、古い仕組みがそのまま残っている会社は珍しくないと思います。自分のサイトで行った確認と撤去の手順を、順番どおりにまとめます。

なぜ「残っているだけ」でも危ないのか

  • ログイン画面が外から見える。パスワードを片っ端から試される標的になります。
  • 使っていないので、気にかける人がいない。プラグインや設定が古いままになりやすく、異変にも気づきにくくなります。
  • WordPressを更新しても直らない問題がある。2026年10月には、サーバー側のPHPそのものの脆弱性(通称PHP2shell)がIPA(情報処理推進機構)から注意喚起されました。これはWordPressやプラグインではなく、サーバーのPHPを更新しないと塞がりません。

行った手順(この順番が大事です)

1. アカウントを守る

サーバーの管理画面に二段階認証を設定しました。スマホの認証アプリを使い、予備のコードは紙に書いて保管しています。作業の途中で管理画面を乗っ取られては元も子もないので、最初に行います。

2. バックアップを取る

撤去すると元に戻せないため、ファイル(7,729件・約206MB)とデータベース(2件)をすべて手元に保存しました。パスワードを含むファイルがあるため、保存先はクラウド同期されない場所にしています。

3. 今の状態を確かめる

PHPのバージョン、管理者アカウントの一覧、入っているプラグインを確認しました。PHPはすでに対策済みの版(8.3.36)で、知らない管理者もいませんでした。

4. 侵入された痕跡がないかを調べる(読み取りのみ)

撤去の前に、侵入されていないかを確かめます。侵入されたまま撤去や更新をすると、裏口を見落とすおそれがあるためです。次の4つの方向から調べ、いずれも異常はありませんでした。

  • 画像しか置かないはずのフォルダに、プログラム(PHPファイル)が置かれていないか → 0件
  • ファイルの更新日時に、身に覚えのない日付がないか → すべて説明がついた
  • WordPress本体のファイルを、公式が公開している一覧と1件ずつ照合 → 改変なし
  • データベースに、不正なコードによく使われる書き方が含まれていないか → 0件

もし怪しいものが見つかったら、消さずに記録を残してから専門の業者に相談するつもりでした。

5. 撤去までのつなぎの対策

使っていないファイル管理用のプラグインを停止し、サーバーのWAF(攻撃を遮断する仕組み)をすべて有効にしました。

ここで分かったことがあります。サーバーには「国外からのアクセスを制限する」設定がすでに入っていましたが、国内から試すと、ログイン画面は普通に開きました。国内のサーバーを踏み台にされれば素通りします。つなぎの設定は時間稼ぎにすぎない、ということです。

6. 撤去する

旧WordPressのファイルとデータベースを削除しました。7,729ファイル・約206MBが、147ファイル・約7.5MBになり、PHPのファイルは0件になりました。表に出ているページはすべてそのまま表示され、旧WordPressのログイン画面などはすべて「見つかりません」になったことを確かめています。

PHPを使わなくなったので、今後PHPの脆弱性のニュースが出ても、このサイトは影響を受けません。

7. 仕上げと、その後の点検

ブラウザに安全な扱いを指示する設定(セキュリティヘッダー)を4種類追加しました。さらに週に1回、サイトの状態を基準と突き合わせる点検を仕組みにしています。ページが消えていないか、知らないファイルが増えていないか、といった点を確かめるものです。

小さな会社が、まず確かめたい3つのこと

  1. 古いサイトや、使っていない仕組みが残っていないか。自社のアドレスの後ろに /wp-login.php を付けて開いてみて、ログイン画面が出るならWordPressが動いています。使っていないなら、片付けを検討してください。
  2. サーバーのPHPが新しい版になっているか。レンタルサーバーの管理画面で確認できます。
  3. 管理画面に二段階認証が設定されているか。サーバーとホームページの両方です。

この手順でできないこと

  • 安全を保証するものではありません。確認したのは、その時点で外から見える状態と、サーバー上のファイル・データベースです。
  • 侵入された後の調査や復旧は、専門の業者の領域です。痕跡が見つかった場合は、記録を残して専門の業者に相談するのが確実です。
  • 他人のサイトを、同意なく調べることはしません。ご依頼いただく場合も、書面で同意をいただいたうえで、通常の閲覧と同じ範囲の確認にとどめます。

まとめ

使っていない仕組みを守り続けるより、消してしまうほうが確実です。ただし、消す前にバックアップと痕跡の確認を済ませること。順番を守れば、特別な道具がなくても進められます。

電道では、自社で行ったこの手順をもとに、ホームページの制作・保守をお手伝いしています。古いサイトが残っていないか気になる方は、業務改善支援のページ、またはお問い合わせからご相談ください。