WordPressに不正管理者9件｜wp2shell.invalid発見【実例】

「WordPressのユーザー一覧に、作った覚えのない管理者が増えている。
でもサイトは普通に表示されているから、少し様子を見ても大丈夫だろう」と考えていませんか？

見覚えのない管理者は、1件でも緊急対応が必要な異常です。
管理者権限があれば、投稿や設定の変更、別ユーザーの追加、プラグインの導入など、サイト全体に関わる操作ができるためです。

今回ご相談いただいたWordPressでは、管理者11件のうち9件が身に覚えのないアカウントでした。

不正ユーザーの削除、最新版への更新、WAF、クイックレスキュー365プラグインによる防御強化を実施し、
調査時点では追加のマルウェアやファイル改ざんを示す痕跡は確認されていません。

結論から言うと、知らない管理者が見つかった時点で、すでに「予防」ではなく「侵害後の対応」が必要です。
不正ユーザーだけを消して終わらず、入口の修正、被害範囲の調査、防御強化まで進めてください。

WordPressで管理者11件中9件が不正ユーザーだった実例

今回のWordPressでは、正規の管理者とは別に、サイト所有者が作成していない管理者アカウントが9件追加されていました。
投稿数はすべて0件でしたが、権限グループは「管理者」です。

投稿数0でも管理者権限があるだけで危険

画面上の管理者は合計11件でした。そのうち正規と確認できたものは2件で、
残る9件は所有者が作成していないアカウントです。

投稿数が0でも安全ではありません。攻撃者が正しい認証情報を持っていれば、
管理者としてログインし、設定変更や不正ファイルの設置につなげられるおそれがあります。

データベースにも同じ9件が登録されていた

WordPressの管理画面だけでなく、データベース側にも同じ不審ユーザーが登録されていました。
単なる画面表示の不具合ではなく、実際のユーザーデータとして作成された状態です。

データベース画面にはパスワードハッシュなどの機密情報も含まれるため、本記事では掲載していません。
調査では画面とデータベースの状態を記録し、正規ユーザーではないことを確認してから対応しました。

wp2shellを疑った文字列とWordPress 7.0.2の関係

今回のアカウントには、公開されたwp2shellの実証コードや侵害対応で報告された形式と一致する文字列が複数ありました。
ただし、文字列は攻撃者が自由に変更できるため、これだけで侵入経路を断定してはいません。

@wp2shell.invalidは疑う手掛かり、ユーザー名だけでは断定しない

w2s_...、@wp2shell.invalid、wpsvc_...@wordpress-svc.internalと一致する形式は、wp2shellを疑う補助的な根拠になりました。

一方、wpsvc_...は別のWordPress侵害でも使われたことがあり、wp2shell固有の印ではありません。
攻撃時のバージョン、導入していたプラグイン、アクセスログなどを合わせて調べ、今回の記事では「wp2shell攻撃が疑われる」と表現しています。

.invalidは通常の連絡先として使うためのドメインではありません。ただし、見慣れたドメインが入力されていても、所有者が作っていない管理者なら緊急調査の対象です。

WordPress 7.0.2は原因ではなく最初の修正版

WordPress 7.0.2はwp2shell攻撃の原因となった版ではなく、7.0系で脆弱性を修正した最初のセキュリティ版です。
影響を受ける7.0系は7.0.0〜7.0.1で、6.9系の最初の修正版は6.9.5です。

アップデートは攻撃に使われた入口をふさぎますが、更新前に作られた不正管理者や不審ファイルを自動で消すものではありません。
更新と侵害調査は、役割が異なる2つの作業です。

不正管理者9件に行った4つの封じ込め措置

今回の対応では、不正ユーザーの存在そのものを侵害として扱いました。
画面とデータベースを記録し、被害範囲を調べたうえで、次の4つを重ねています。

不正管理者は記録と確認を済ませてから削除

今回の9件は投稿数0でしたが、表示された数字だけで判断せず、権限とデータベース上の登録を確認しました。
関連情報を残したうえで、正規ユーザーではないアカウントを削除しています。

最新版への更新とWAFで入口を外側から守る

WordPress本体、プラグイン、テーマを安全な最新版へそろえ、サーバー側ではWAF（Web Application Firewall）を有効化・調整しました。WAFは、Webサイトへ届く不審な通信を検知・遮断する仕組みです。

ただし、WAFはアップデートの代わりにはなりません。
更新で既知の弱点を修正し、WAFで攻撃通信を減らし、内部調査で残された痕跡を確認するという役割分担が必要です。

クイックレスキュー365でWordPress内部を強化

WordPress側では、クイックレスキュー365プラグインを使い、不正ログインブロック、ログインURL変更、XML-RPC遮断、ユーザー名漏えい防御、uploadsフォルダでのPHP実行禁止などを確認しました。

クイックレスキュー365にマルウェアスキャン機能はありません。
今回も感染調査の代わりではなく、WordPress内部の予防・防御を補う役割で使用しています。

調査範囲では追加のマルウェアや改ざん痕跡は未確認

調査対象・手法・時点の範囲では、追加の悪性PHPファイルやファイル改ざんを示す痕跡は確認できませんでした。
少なくとも調査時点で、画面に現れていた不正管理者以外の重大な痕跡は見つかっていません。

そのため「マルウェアが見つからなかったから完全に安全」とは表現しません。
不正アカウント削除、入口の修正、防御強化という封じ込め措置を行い、継続監視へ移行しました。

早い依頼は被害を断定するためではなく、拡大リスクを下げるため

今回、追加のマルウェアが見つからなかった理由を「相談が早かったから」と断定することはできません。
それでも、異常を放置せず早く調査を始めるほど、不正管理者を使われる時間を短くし、ログが消える前に確認できる可能性が高まります。

おかしいと思った段階で依頼することは、結果を決めつけるためではなく、
改ざん、情報漏えい、マルウェア設置、再侵入へ広がるリスクを少しでも早く下げるために重要です。

初心者は削除を急がず、その日のうちに相談を

知らない管理者を見つけると、すぐ削除したくなります。
しかし、削除前のユーザー名、メールアドレス、権限、確認時刻は、被害範囲を調べる手掛かりです。

不正ユーザーだけを消しても、侵入口や別の痕跡が残ることがあります。一般的な確認項目や復旧の流れは、次の記事で詳しく解説しています。

WordPressの不正管理者とwp2shellでよくある質問

WordPress 7.0.2がwp2shell攻撃の原因ですか？

いいえ。7.0.2は7.0系でwp2shellの脆弱性を修正した最初の版です。現在の更新先という意味ではないため、バックアップと互換性を確認し、利用できる最新安定版へ更新してください。

このユーザー名ならwp2shellと断定できますか？

断定できません。今回の文字列はwp2shellを疑う補助的な根拠ですが、別の攻撃でも似た名前は使われます。攻撃時のWordPressバージョン、プラグイン履歴、アクセスログなどを合わせて判断します。

不正ユーザーを削除すれば対応は終わりますか？

終わりではありません。最新版への更新、ファイルとデータベースの調査、認証情報やセッションの見直し、WAF、防御強化、再発監視まで必要です。削除前には調査に必要な情報を保存してください。

クイックレスキュー365でマルウェアを検出できますか？

クイックレスキュー365プラグインにマルウェアスキャン機能はありません。不正ログインの抑止やuploadsフォルダ内のPHP実行禁止など、予防・防御に使います。感染確認は専門調査と組み合わせてください。

不正管理者9件を確認し、封じ込め措置を実施した事例

今回のWordPressでは、管理者11件中9件が身に覚えのないアカウントでした。
複数の文字列からwp2shellを疑いましたが、文字列だけで侵入経路は断定していません。

不正ユーザー削除、最新版への更新、WAF、クイックレスキュー365プラグインによる防御強化を実施しました。
調査範囲では追加のマルウェアや改ざん痕跡は確認されず、現在は継続監視へ移行しています。

「知らない管理者がいる」「ユーザー数が急に増えた」「いつもと動作が違う」という段階で、すでに相談して構いません。被害が目立つまで待たず、おかしいと思った時点ですぐ調査を始めてください。

WordPressが少しでもおかしい時は今すぐご依頼ください

知らない管理者、見覚えのない変更、いつもと違う動作がある時は、
被害が大きくなるまで待たず、クイックレスキューへご依頼ください。

「おかしいかも」と思った時点ですぐにご依頼ください。早めの調査と初動対応が、改ざん・情報漏えい・マルウェア設置へ広がるリスクを下げ、被害を最小限に抑える近道です。