WordPressに見覚えのないプラグインが増えた時の確認と安全な削除手順

WordPressのプラグイン一覧に、入れた覚えのない名前が増えていて困っていませんか？
誰かが管理画面へ入ったのか、制作会社が追加したのか、マルウェアなのか分からないと、すぐ削除したくなるものです。

しかし、見覚えのないプラグインを確認せず消すと、証拠を失うだけでなく、予約フォームや決済など正規機能を止める恐れがあります。
反対に、正体不明のまま有効化しておくと、不正通信や再侵入が続く可能性もあります。

大切なのは、名前だけで安全・危険を決めず、導入経路、配布元、ファイル、設定、ログを順番に確認することです。

結論から言うと、見覚えのないプラグインは「記録とバックアップ」「由来確認」「無効化または隔離」「感染範囲の調査」「削除と再発確認」の順で扱います。
この順番なら、正規機能を壊す危険と、攻撃者の痕跡を消す危険の両方を減らせます。

管理画面を開ける場合と開けない場合に分け、初心者でも判断材料をそろえられるよう具体的に説明します。

WordPressに見覚えのないプラグインを見つけたら最初に記録する

WordPressに見覚えのないプラグインを見つけた時は、削除や更新より先に現状を記録してください。
記録があれば、正規機能か不正侵入の痕跡かを後から比較でき、誤操作から戻す材料にもなります。

プラグイン一覧と詳細画面をスクリーンショットで残す

まず、管理画面の「プラグイン」一覧を開き、対象の名前、説明、バージョン、作者、公式サイトへのリンク、有効・無効の状態を保存します。
自動更新の設定、更新通知、インストール済みの順番も画面に入るよう撮影してください。

似た名前の正規プラグインに偽装する例があるため、表示名だけでは足りません。
説明文の日本語が不自然、作者リンクが無関係なドメイン、公式ディレクトリに同名がない場合は、確認優先度が上がります。

プラグインフォルダと構成ファイルを変更せず保存する

サーバーのファイルマネージャーやSFTPを利用できるなら、wp-content/plugins 内の対象フォルダ名を確認します。
フォルダ全体をダウンロードし、作成日時・更新日時・サイズ・ファイル数が分かる画面も残してください。

この段階ではPHPファイルをブラウザで直接実行したり、内容を編集して保存したりしません。
閲覧するだけでもエディターが改行や文字コードを変える場合があるため、調査用コピーと原本を分けるのが安全です。

バックアップは正常版と証拠版を混ぜない

発見時のバックアップは、復元用の正常バックアップではなく、調査用の証拠バックアップとして分けます。
感染の疑いがある状態をいつもの保存先へ上書きすると、最後の正常版まで失う恐れがあるからです。

保存名には日時と「調査前」を入れ、別の場所へ保管します。個人情報を含む場合はアクセス権を限定し、外部へ渡す時も暗号化や安全な共有方法を選んでください。

わたしの実務では、発見直後の画面とファイル時刻が、侵入経路や影響範囲を絞る重要な手がかりになります。

WordPressの見覚えのないプラグインが正規か不正かを切り分ける

WordPressの見覚えのないプラグインは、存在だけでマルウェアと断定できません。
保守会社、テーマ、レンタルサーバー、移行ツールが必要な補助プラグインを導入する場合もあるため、由来を説明できるかで切り分けます。

管理者・制作会社・サーバー会社の作業履歴を確認する

最初に、サイトへ触れる人へ確認します。管理者本人だけでなく、制作会社、保守担当者、広告運用者、サーバー移転担当者が、バックアップ、キャッシュ、セキュリティ、計測のために追加していないか聞いてください。

質問は「入れましたか」だけで終わらせず、導入日時、目的、入手元、設定内容、削除した場合の影響まで確認します。
作業チケット、メール、請求書、更新履歴と照合できれば、正規導入を客観的に説明できます。

公式配布物とフォルダ名・版・ファイル構成を比べる

公式WordPressディレクトリや開発元サイトに同名プラグインがある場合は、正式な作者、スラッグ、最新版、対応WordPress、更新日を確認します。
サーバー上のフォルダ名と主要ファイルが、同じ版の正規配布物と一致するか比較してください。

公式と同じ表示名でも、フォルダ名が一文字違う、メインファイル以外に不自然なPHPがある、画像フォルダに実行ファイルがある場合は注意が必要です。
一方、独自開発や有料プラグインは公式ディレクトリにないため、存在しないことだけで危険と決めません。

コードと通信は単語ではなく役割で評価する

base64_decode、eval、外部URLなどは調査対象になりますが、単語があるだけで不正とは限りません。
どの入力を受け、何を実行し、どこへ送信し、誰が呼び出せるかという役割を確認します。

認証なしで管理機能を実行する入口、任意ファイルのアップロード、外部サーバーから命令を受ける処理、管理者を作成する処理は危険度が高い要素です。
判断できないコードを試しに実行せず、正規版との差分とアクセスログを専門家へ渡してください。

WordPressの見覚えのないプラグインを安全に無効化・隔離する

WordPressの見覚えのないプラグインは、バックアップと影響確認を行ってから、削除より先に無効化または隔離します。
段階を分けることで、サービス停止の原因を切り分けながら、不審な動作だけを止めやすくなります。

停止の影響が大きいサイトはメンテナンス時間を決める

EC、予約、会員、決済、多言語、フォームを使うサイトでは、プラグイン停止が売上や受付に直結します。
利用者の少ない時間を選び、担当者へ連絡し、停止前後に確認する画面と操作を決めてください。

確認項目はトップページだけでは足りません。ログイン、商品購入、予約送信、メール通知、管理画面保存、定期処理など、対象プラグインが関係しそうな機能を一覧にします。

管理画面を使えるなら無効化して症状と機能を確認する

管理画面へ安全に入れる場合は、対象を無効化し、画面、フォーム、メール、ログ、外部通信の変化を確認します。
不審な転送や送信が止まっても、それだけで原因確定や駆除完了とは判断しません。

無効化した直後の時刻を記録し、その前後のアクセスログとエラーログを比較します。
正規機能が止まった場合は、必要な設定やデータを保全してから代替手段を準備し、むやみに再有効化しないでください。

管理画面を使えない場合はフォルダ名変更で一時停止する

管理画面へ入れず、対象プラグインが原因と疑われる場合は、SFTPやファイルマネージャーで対象フォルダ名を変更すると読み込みを止められる場合があります。
ただし、操作前にフォルダ全体を保存し、元の名前を正確に記録してください。

フォルダ名変更は完全な隔離ではありません。別のPHPから直接読み込まれる構成や、mu-plugins、テーマ、Cron、データベースに残る仕組みは動く可能性があります。
公開領域外へ移す場合も、依存関係とサイト停止への影響を確認します。

不審なプラグインを更新して様子を見る操作は避けてください。更新処理で別のコードが取得され、証拠や状態が変わる可能性があります。

WordPressの見覚えのないプラグインを削除する前後に感染範囲を調べる

WordPressの見覚えのないプラグインが不正と分かっても、そのフォルダだけを削除して終わりにはできません。
プラグインを追加できた侵入口や、削除後に復活させる別の仕組みが残っている可能性があるからです。

同時刻に変更されたファイルと永続化の仕組みを見る

対象フォルダの作成時刻を基準に、WordPress本体、テーマ、ほかのプラグイン、uploads、mu-plugins、.htaccess、wp-config.php の変更を確認します。
同じ時刻帯に増えたPHPやJavaScriptは、名前が違っても関連している可能性があります。

WP-Cronのイベント、サーバー側Cron、テーマの読み込み処理、データベースの自動読み込み設定も確認します。
削除したフォルダが再生成されるなら、別の場所から復元する処理が残っているため、再生成された時刻と直前のアクセスを追ってください。

管理者ユーザー・セッション・APIキーを確認する

プラグインを管理画面から導入された可能性があるなら、管理者ユーザーをすべて確認します。
名前とメールアドレスだけでなく、作成時期、最終ログイン、権限、アプリケーションパスワード、接続中セッションも調べます。

共有アカウントを使っていると、誰の操作か分かりません。不要な管理者を停止し、既存セッションを無効にしてから、安全な端末でWordPress、サーバー、SFTP、データベース、メール、ドメインの認証情報を変更してください。

アクセスログと監査ログで導入経路を絞る

サーバーのアクセスログでは、対象が追加された時刻付近の管理画面ログイン、プラグインアップロード、更新処理、管理用Ajax、REST APIへの通信を確認します。
IPアドレスだけで断定せず、利用者、端末、時刻、操作URLを組み合わせます。

ログが短期間で消えるサーバーもあるため、発見したら早めに保存してください。
管理画面の監査ログが導入前から有効なら、誰がインストール・有効化・設定変更を行ったかを確認しやすくなります。

通常のプラグイン一覧に出ない仕組みも確認する

WordPressには、通常のプラグイン一覧とは別に、必須プラグインとして自動読み込みされるmu-pluginsや、キャッシュ・データベースを置き換えるドロップインがあります。
一覧から対象を消しても、こうした場所に関連コードが残れば不審な処理は続きます。

wp-content/mu-plugins、advanced-cache.php、object-cache.php、db.phpなどを確認し、利用中のキャッシュや保守サービスが正規に設置したものか照合してください。
ドロップインは正規用途でも使われるため、ファイル名だけで削除せず、設定ファイルやサーバー会社の仕様と一緒に判断します。

対象プラグインと同じ通信先、関数名、作成時刻が見つかれば、関連性を示す材料になります。
一方、正規サービスが生成するファイルなら、停止手順を確認せず消すとキャッシュ障害やデータベース接続エラーを起こすため注意してください。

Wordfenceなどのスキャンは、正規ファイルとの差分や既知の不審ファイルを探す材料になります。
ただし、検出結果を一括削除する前に、独自開発や必要ファイルが含まれていないか確認してください。

削除は根拠と復元手段がそろってから行う

不正な追加物である根拠がそろい、必要な設定やデータがなく、代替機能も確認できたら、隔離済みの対象を削除します。
正規プラグインの改ざんであれば、フォルダ全体を消すだけでなく、同じ版または安全な対応版の正規配布物へ置き換えます。

削除直後にサイトが表示されても、数時間から数日後に再生成されることがあります。
一定期間、プラグイン一覧、ファイル時刻、Cron、外部通信、検索結果を繰り返し確認し、再出現しないことを確かめてください。

WordPressの見覚えのないプラグインを処理した後の再発防止

WordPressの見覚えのないプラグインを処理した後は、追加された入口を閉じ、変更を追える運用へ変えることが再発防止の要点です。
削除だけでは、漏えいした認証情報や未修正の脆弱性から同じことが繰り返されます。

WordPress本体・テーマ・プラグイン・PHPを安全な版へ更新する

侵入口になった脆弱性を特定し、安全な対応版へ更新します。更新が止まったプラグインやテーマは、停止したまま残さず、必要なデータを移行して代替製品へ切り替えてください。

感染中のサイトへ最新版を上書きするだけでは、追加ファイルやデータベース改ざんが残ります。
駆除、正規版への復元、動作確認、更新を分け、各段階でバックアップと記録を残すことが重要です。

管理者を個人別にし二要素認証と最小権限を使う

管理者アカウントの共有をやめ、担当者ごとにユーザーを分けます。記事編集だけの人へ管理者権限を渡さず、作業が終わった外部担当者のアカウントは停止または削除してください。

強い固有パスワードと二要素認証を設定し、アプリケーションパスワードやAPIキーも棚卸しします。
退職者や契約終了者の認証情報が残っていないか、四半期ごとなど定期的に確認すると管理しやすくなります。

新規インストールと有効化を監査できるようにする

プラグインのインストール、有効化、無効化、削除、設定変更を記録する監査ログを利用すると、次の異常時に確認が速くなります。
ログはWordPress内だけでなく、攻撃者が消しにくい外部保存先へ転送できると理想的です。

本番環境で新しいプラグインを直接試さず、ステージング環境で入手元、権限、通信、互換性を確認します。
導入申請と担当者を記録する簡単な台帳を作れば、「誰も知らないプラグイン」が生まれにくくなります。

クイックレスキュー365にはマルウェアスキャン機能はありません。
ただし、不正ログインブロック、ログインURL変更、XMLRPC遮断、ユーザー名漏えい防御、uploadsフォルダでのPHP動作禁止など、復旧後の防御に役立つ機能があります。

スキャンが必要な場面ではWordfenceなどを使い、ログイン防御や基本設定の強化とは役割を分けてください。
一つのプラグインに任せ切らず、更新、権限、バックアップ、監視を組み合わせることが重要です。

WordPressの見覚えのないプラグインに関するよくある質問

見覚えのないプラグインはすぐ削除してよいですか？

すぐ削除するのはおすすめしません。制作会社やサーバー会社が正規目的で導入した可能性があり、削除すると必要機能が止まることがあります。画面、ファイル、ログ、バックアップを保存し、導入者と配布元を確認してから無効化・隔離・削除を判断してください。

無効化すれば不正な動作は完全に止まりますか？

完全に止まるとは限りません。別ファイルから直接呼び出される処理、mu-plugins、テーマ、Cron、データベースに残る処理は動く可能性があります。無効化後に通信とログを確認し、関連ファイル・ユーザー・設定まで調査してください。

公式ディレクトリにないプラグインはマルウェアですか？

公式ディレクトリにないだけでは断定できません。有料製品、独自開発、サーバー会社専用のプラグインもあります。契約、導入履歴、開発元、署名やハッシュ、正規配布物との比較で由来を確認し、説明できない場合に調査範囲を広げます。

削除したプラグインがまた現れるのはなぜですか？

別のバックドア、Cron、不正管理者、漏えいした認証情報、脆弱なプラグインなどが再作成している可能性があります。再生成時刻のログを保存し、同時刻のファイル変更、管理者操作、外部通信を調べ、侵入口を閉じる必要があります。

WordPressの見覚えのないプラグインは記録してから安全に処理する

WordPressに見覚えのないプラグインを発見したら、即削除と放置のどちらにも進まず、由来を説明できる材料を集めてください。
画面、ファイル、データベース、ログを残し、正規配布物や作業履歴と比較することが最初の一歩です。

正規機能か不正な追加物かを自分で判断できない場合は、無理にコードを実行・削除せず、保存した情報を専門家へ渡してください。
根拠を残した状態なら、必要な調査範囲を絞り、サイトを壊さず復旧できる可能性が高まります。

WordPressの見覚えのないプラグインを自分で判断できない時は

見覚えのないプラグインの由来が分からない、無効化するとサイトが壊れる、削除しても再び追加される場合は、
クイックレスキューが証拠保全、感染範囲の調査、駆除、復旧、再感染防止まで対応します。

調査費用・初期費用は0円です。
状況を確認し、必要な作業と費用をご案内します。