WordPressマルウェア駆除の完全手順｜感染確認から復旧・再発防止まで【2026年版】

「WordPressサイトが変な動きをしている」「見知らぬファイルが増えている」「Googleに危険なサイトと表示されてしまった」
——そんな状況に陥って、焦っていませんか？

マルウェア感染は、WordPressを運営していれば誰にでも起こりうるトラブルです。
しかし、正しい手順で対処すれば、多くの場合は自分で駆除・復旧できます。

でも「何から手をつければいいかわからない」「変に触って悪化させたくない」という不安が先に立ち、
動けなくなっている方も多いはずです。
大丈夫です。
この記事ではプロの現場で実際に使っている手順をそのままお伝えします。

よこやま良平

WordPressの復旧を多数手がけてきたよこやま良平です。わたしの現場経験をもとに、感染確認から完全駆除・再発防止まで丁寧に解説します。

マルウェア駆除は、手順どおりに進めれば初心者の方でも対処できます。
焦らず一つひとつ確認していきましょう。

まずは「本当に感染しているのか」の確認から始めます。

WordPress マルウェア感染の症状と確認方法

マルウェア感染かどうかは、症状のパターンで判断できます。
以下の症状が出ていれば、感染を疑って対処を開始してください。

マルウェア感染でよく見られる症状

感染サイトに現れる症状は多岐にわたります。わたしが現場で頻繁に見てきた代表的なパターンを紹介します。

1つでも当てはまれば、すぐに次のステップへ進んでください。複数当てはまる場合は感染の可能性が高く、早急な対処が必要です。

Googleサーチコンソールとサーバーで感染を確認する

感染の事実確認には、外部からの客観的なチェックが有効です。まず確認すべき2か所があります。

1つ目はGoogleサーチコンソールです。「セキュリティの問題」タブを開き、マルウェアや不正なコンテンツに関する警告が出ていないか確認します。Googleがすでに感染を検知していれば、ここに具体的な警告内容が表示されます。

2つ目はサーバーのファイルマネージャーやFTPです。`/wp-content/uploads/` フォルダにPHPファイルが存在する場合、
これはマルウェアである可能性が極めて高いです。画像フォルダにPHPファイルは本来存在しません。

マルウェア駆除の前にやること（バックアップ・初動対応）

駆除作業を始める前に、必ず現状のバックアップを取ることが鉄則です。
感染した状態であっても、バックアップがあれば「元の状態に戻す」という選択肢を残せます。

感染状態のままバックアップを取る理由

「感染したファイルをバックアップしても意味がない」と思う方がいますが、これは誤解です。
バックアップの目的は「感染前に戻すこと」ではなく、「作業中に何か起きた時のリカバリポイントを持つこと」です。

駆除中に誤って重要なファイルを削除してしまうことがあります。
その時にバックアップがあれば、ファイルを元の場所に戻してやり直せます。
バックアップなしで作業を進めると、最悪の場合サイトが完全に壊れてしまいます。

初動でやるべき3つの緊急対応

バックアップが取れたら、被害を広げないための緊急対応を行います。
次の3つを優先してください。

WordPress マルウェア駆除 5ステップ手順

マルウェア駆除は、正しい順番で進めることが最も重要です。
順番を飛ばしたり、思いつきで作業すると、駆除漏れや再感染の原因になります。わたしが現場で実践している5ステップを紹介します。

ステップ1：Wordfenceでマルウェアスキャンを実行する

まず、無料で使えるセキュリティプラグイン「Wordfence Security」でサイト全体をスキャンします。
WordPressのコアファイル・プラグイン・テーマ・アップロードファイルまで、すべてのファイルをチェックしてくれます。

管理画面にログインできない場合は、Wordfenceのプラグインをインストールできません。その場合はサーバーのファイルマネージャーやFTPで直接ファイルを確認するか、ホスティング会社のウイルススキャン機能を使ってください。

ステップ2：検出されたマルウェアファイルを削除・修復する

Wordfenceのスキャン結果に表示されたファイルへの対処方法は、ファイルの種類によって異なります。適切に判断して対処してください。

ステップ3：.htaccessとwp-config.phpを確認・クリーニングする

マルウェアが仕込まれやすい 2つのファイルを必ず手動で確認します。
`.htaccess`と`wp-config.php`は、攻撃者が悪意あるコードを挿入する定番ターゲットです。

# BEGIN WordPress
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>
# END WordPress

このコード以外に見慣れない記述があれば、それがマルウェアです。不審なコードを削除し、上記の正常な内容だけが残るようにしてください。

ステップ4：WordPressコア・プラグイン・テーマを最新版に更新する

マルウェア感染の原因の多くは、古いバージョンのWordPress・プラグイン・テーマに存在する脆弱性です。駆除後は必ずすべてを最新版に更新してください。

ステップ5：再スキャンとGoogleへの再審査申請

駆除作業が完了したら、必ずもう一度Wordfenceでスキャンを実行し、検出結果がゼロになったことを確認します。問題なければ駆除完了です。

Googleに「危険なサイト」として警告が出ていた場合は、Googleサーチコンソールから再審査申請を行います。「セキュリティの問題」タブ → 「これらの問題を修正しました」→「審査をリクエスト」の順に進んでください。審査には通常数日〜数週間かかります。

駆除後の再発防止策

マルウェアを駆除しても、セキュリティ対策をしなければ同じ攻撃で再び感染します。駆除後の再発防止策こそが、長期的な安全運用の要です。

クイックレスキュー365で不正ログインと侵入を防ぐ

再発防止の第一歩として、わたしがまず導入を勧めるのが無料のセキュリティプラグイン「クイックレスキュー365」です。辞書攻撃・不正ログインのブロック、ログインURLの変更、XMLRPC遮断など、侵入を防ぐための8つの機能を無料で使えます。

ワドプロカレッジ

WordPress保守・不正アクセス対策・マルウェア駆除・WordPressクイックレスキュー365 WordPress保守・不正アクセス・マルウェア駆除・ログイン不能なら！「クイックレスキュー365」 Word…

定期バックアップと自動スキャンを設定する

再発防止の柱となるのが「定期バックアップ」と「定期スキャン」の自動化です。万一感染しても、直前のクリーンな状態に戻せる環境を整えておくことが大切です。

WordPress マルウェア駆除に関するよくある質問

自分でマルウェア駆除できないケースはありますか？

管理画面にログインできない・FTPも使えないほどサイト全体が壊れている場合や、スキャンをしてもマルウェアが特定できない場合は、専門家への依頼を検討してください。感染を何度繰り返しても再感染してしまう場合も、専門家による調査が確実です。

Wordfenceの無料版で十分ですか？

マルウェアのスキャンと検出という目的においては無料版でも十分な機能があります。ただし無料版はシグネチャ更新が有料版より数十日遅れるため、まず無料版で対処し、セキュリティをより強固にしたい場合に有料版への移行を検討するのが現実的です。

マルウェア駆除後もGoogleの警告が消えません。どうすれば？

駆除後はGoogleサーチコンソールの「セキュリティの問題」から審査リクエストを送信する必要があります。審査には通常数日〜数週間かかりますが、審査リクエストを送らなければ警告は消えないため必ず申請してください。

WordPressの再インストールは必要ですか？

感染が軽微でWordfenceによる駆除と修復で対処できる場合は再インストールは必須ではありません。ただし感染範囲が広い・コアファイルの多くが改ざんされている混寧なケースでは、クリーンな状態から再インストールしたほうが確実です。

WordPress マルウェア駆除 完全手順まとめ

WordPressのマルウェア駆除は、正しい手順と適切なツールを使えば自分でも対処できます。この記事で解説した5ステップを守って、確実に駆除・再発防止まで完結させましょう。

それでも自分での駆除が難しい・時間がない・何度やっても再感染してしまうという場合は、
専門家への依頼が最善の選択です。
被害が長引くほど、SEOへのダメージも大きくなります。

ホームページの乗っ取りが自分で解決できない時は

ワドプロカレッジ

WordPress保守・不正アクセス対策・マルウェア駆除・WordPressクイックレスキュー365 WordPress保守・不正アクセス・マルウェア駆除・ログイン不能なら！「クイックレスキュー365」 Word…

ホームページの乗っ取り・マルウェア感染・不正アクセスでお困りなら、
クイックレスキューが解決します。

こんなお悩みなら最短30分ですぐに解決します！
いまなら期間限定で3つの安心保証