裏口が残っていないか？Webシェル・侵入の痕跡セルフチェック

Webシェルとは何で、なぜPHPを直しても残るのか？

Webシェルは、侵入した人がサーバーにこっそり置いていく、遠隔操作用のファイルです。PHPを直せば新しく入る道はふさがりますが、すでに置かれたファイルはひとりでには消えません。

米国のCISAは、Webシェルをサーバーを離れた場所から操作できるようにするスクリプトだと説明し、攻撃者がそれを使って大事な情報を集めて持ち出すと警告しています。¹ 韓国の情報保護機関KISAも、今回のPHPの脆弱性が悪用されるとWebシェルが置かれるおそれがあると注意しました。²⁴

家にたとえるとこうです。鍵を替えれば、古い鍵では玄関を開けられません。けれど泥棒がその前に、裏庭のほうに小さな勝手口をあけていたら、新しい鍵はその勝手口のことを知りません。

1. 記録を保存：サーバー会社の管理画面から、アクセスログを今日、自分のパソコンにダウンロードする
2. 管理画面を見る：WordPressのユーザー一覧とサイトヘルスの画面を見る
3. ファイルの日時を見る：ファイルマネージャで、最近できた・変わったPHPファイルを見る
4. 公式の検査を使う：サーバー会社が用意している検査機能を使う
5. 怪しければ：消す前に記録し、サーバー会社と専門家に連絡する

1番は、時間がたつとできなくなります。残りは、1番を終えてからゆっくりで大丈夫です。

1番は今日やってください。

痕跡が見つからないからといって、攻撃を受けていないとは言い切れません。

JPCERT/CCも、今回の攻撃は「痕跡が残らない場合があります」とし、痕跡がなくても「攻撃を受けていないと断定することはできません」と書いています。² ですから、セルフチェックの結果にかかわらず、パスワードと外部サービスの連携キーは替えておくのがおすすめです。²⁴

ヤンのまとめセルフチェックは「安全証明書」ではなく「異変さがし」です。見つかったら専門家を呼び、見つからなくても鍵は替えます。

今日いちばん先にやることは何か？

サーバー会社の管理画面から、アクセスログを自分のパソコンにダウンロードすることです。ログは決まった期間がたつと消えるからです。

お店の防犯カメラも、数日たつと古い映像の上に新しい映像を上書きします。何があったかをあとで見るには、上書きされる前に映像を別の場所へ移しておく必要があります。サーバーのアクセスログ（誰が、いつ、どのアドレスに来たかを書いた出入りの記録）も同じです。セキュリティ企業のyamoryも、ログの入れ替え（ローテーション）で「記録が消える前に」別の場所へ移すよう勧めています。²⁵

どこからの記録が要るのでしょう。Amazonのおとりサーバー（ハニーポット）は、修正版の公開4日前の10月17日に攻撃の試みを記録しています。²⁶ ですから、取れるなら10月17日より前からの記録を残しておくと安心です。ところが、記録を残しておく期間はサーバー会社ごとに大きく違います（2026年10月25日時点）。

WordPress.orgも、侵入が疑われるときの最初の一歩は「記録すること」だとしています。何を、いつ見たのか、最近何を変えたのかを書き留めておくように、ということです。⁸

ヤンのまとめ今ぜんぶ読めなくても大丈夫です。ダウンロードしておきさえすれば、あとで専門家が読めます。記録は、取っておいた人のものです。

サーバーに入らなくても、社長が自分で見られるところは？

WordPressの管理画面、サーバー会社のファイルマネージャ、ダウンロードしたアクセスログ、そしてサーバー会社の公式の検査機能です。

病院に行かなくても、体温は測れます。体温計は病名を教えてくれませんが、病院に行くべきかどうかは教えてくれます。下の項目も、そういう体温計です。

• ユーザー一覧：WordPressの管理画面のユーザー一覧に、知らない管理者がいないかを見ます。新しいユーザーができていることは、WordPress.orgが挙げるハッキングの兆しのひとつです。⁸ エックスサーバーも、身に覚えのないユーザーがいれば削除するよう案内しています。⁹
• サイトヘルス：「ツール」→「サイトヘルス」→「情報」で、入っているプラグイン・テーマとユーザーの数を見ます。見るだけの画面なので、押しても何も変わりません。¹⁰
• ファイルの日時：ファイルマネージャの「更新日時」の欄を見ます。¹¹ 写真を置くアップロードのフォルダ（wp-content/uploads）にPHPファイルがあったり、最近変わったPHPファイルや.htaccessファイルがあったりすれば、怪しい兆しです。⁸
• アクセスログ：JPCERT/CCは、「不審なmultipart/form-data形式のHTTPリクエスト」のあとに「HTTP 500エラーが発生していないか」を見るよう挙げています。²
• WAFの記録：ロリポップ！とConoHa WINGは、管理画面でWebアプリケーションファイアウォール（WAF）が止めた攻撃の記録を見せてくれます。^12·13
• 公式の検査：エックスサーバーは、改ざんやマルウェアを確かめられる「XServer サイトセキュリティ」を、プレミアム・ビジネスプランで1サイトまで無料で提供しています（スタンダードプランは対象外）。¹⁴ さくらインターネットは、毎日見張って改ざんをメールで知らせる有償のWeb改ざん検知を別に申し込めます。¹⁵ WordPress.orgは、WordfenceやSucuriなどの検査ツールを紹介しています。⁸

ヤンのまとめ見ていてわからないものが出てきたら、その場で止まって画面を撮っておいてください。セルフチェックの仕事は、判断ではなく発見です。

社長が自分で見るのが難しいのは、どこか？

サーバーの中で今動いているプログラム、利用者の画面に見えないファイル、メモリに残った痕跡です。共用レンタルサーバーの一般のアカウントでは、ここは見られません。

CISAは、PHPのワーカーがシェルを起動していないかなど、怪しい動きを見張るよう求めています。¹⁸ JPCERT/CCも、PHPのプロセスが「頻繁に再起動したりした痕跡がないか」を挙げています。² 米国のセキュリティ企業VulnCheckは、Webシェルを公開フォルダではなく、サーバー側のセッションの仕組みを通して置こうとした試みを報告しました。¹⁹ ファイルマネージャに見えないからといって、ないとは限らないということです。

ヤンのまとめすべてをひとりで見ようとしなくて大丈夫です。社長の仕事は、記録を守っておき、任せる相手を決めるところまでです。

怪しいファイルを見つけたら、すぐ消していいのか？

すぐには消さないでください。まず記録し、アクセスログを守り、サーバー会社に連絡してから消します。

事件の現場は、片付ける前に写真を撮ります。片付けてしまうと、どこから入ったのかがわからなくなり、同じ道からまた入られるかもしれないからです。

資料によって、言うことが少しずつ違います。CISAの2015年の案内は、Webシェルを見つけたらファイルを削除すればよいと書き、¹ エックスサーバーとさくらインターネットは、裏口が残るおそれがあるとして、怪しいファイルだけでなくすべてを消すほうを勧めています。^9·20 一方でJPCERT/CCは、ログなどの「証拠を保全した上で」次に進むよう求め、² WordPress.orgも片付ける前に今の状態を記録しておくよう勧めています。⁸ そこでこの記事では、順番を次のようにまとめます。

1. 記録：何をいつ見たかを書き、画面を撮ります。⁸
2. 保存：アクセスログをダウンロードしておきます。韓国のKISAは、サーバーの電源を切ったり再起動したりせず、外からの接続だけを止めるよう案内しています。再起動するとメモリに残った痕跡が消えるからです。²⁴
3. 連絡：まずサーバー会社に知らせます。共用サーバーなら、同じサーバーのほかのサイトにも影響があるかもしれません。⁸
4. 相談・報告：JPCERT/CCには、Webフォームかメールで報告できます。原則として電話での報告は受け付けていません。²² 被害の可能性を相談したいときは、IPAが2026年10月16日に開いた「不正アクセス特別相談窓口」（03-6759-5760、平日9:30〜17:30、12:00〜13:00を除く）もあります。²³
5. 片付け：そのあとで削除・初期化・バックアップからの復元をします。どの日付に戻すかは、エックスサーバーの案内どおり、自分で念入りに確かめます。⁹
6. 鍵の交換：データベース・管理者のパスワードと、外部サービスの連携キー（APIキー）を替えます。痕跡が出たサーバーなら、必ず替えます。^9·24

痕跡の具体的な見分け方は、リスク編4本目「パッチの前に侵入されていたら？攻撃の痕跡三つ」でも扱っています。

ヤンのまとめ消すのは5分で済みます。でも、消したものは戻せません。急ぐのは「記録の保存」、ゆっくりやるのが「削除」です。

ネットに出回っている「点検スクリプト」を使ってもいいのか？

出どころのわからないスクリプトは、使わないほうが安全です。点検の道具に見えるものが、新しい攻撃の入り口になりかねないからです。

韓国のセキュリティ企業アンラボは、GitHubに上がった「防御ツール」のうち、サーバーの最高権限（root）で一気に入るものが、セキュリティツールを装った攻撃の経路になりうると警告しました。どうしても使うなら、コードを自分で読み、切り離した環境でだけ動かすよう勧めています。²¹ VulnCheckも、GitHubには攻撃の再現コードの置き場が数百も出てきたものの、本物はごくわずかだったと書いています。¹⁹

知らない人が「この鍵なら何でも開きます」と差し出す鍵で、自分の家のドアを開けてみたりはしません。サーバー会社が公式に用意している検査機能や、WordPress.orgが紹介している検査ツールのように、出どころがはっきりしたものを使ってください。⁸

ヤンのまとめ不安なときほど、「すぐ終わります」という言葉に手が伸びます。そんなときに一度立ち止まることが、いちばんのセキュリティです。