バックドアは、ログインを通らずに入れる「裏口」のことです。
2026年10月は、WordPressのプラグインがらみで、バックドアを仕込まれる事件がありました。
WordPressだとどこに仕込まれるのか、自分のブログで確かめたことと一緒に書いてみます。
バックドアって、裏口ってこと？
そう。ログイン画面を通らずに入れる、こっそり作られた入口だよ。
バックドアとは？ログインを通らずに入れる裏口
バックドアは、正規の入口(ログインなど)を通らずに、システムへ入るための仕組みです。
英語の「back door(裏口)」から来ています。
バックドアが残っていると、何度も入られることがあります。
データを盗まれたり、書き換えられたり、ほかのサイトへの攻撃の踏み台にされたりすることもあります。
もともとは、メーカーが保守のためにわざと用意する入口を指すこともあります。
ただ、ニュースでよく見るのは、攻撃者に仕込まれたほうです。
どんなときに出てくる？
- サイトが乗っ取られた、改ざんされたというニュース
- プラグインやソフトの配布元が侵入されて、配られたファイルに混ざっていたという事件
- 「修正版に更新しても、仕込まれたものは消えない」という注意書き
WordPressだと、どこに仕込まれる？
WordPressのサイトなら、まず見ておきたいのはこのあたりです。
- 見覚えのないプラグイン(UpdraftPlusの事件では、「Site Health Cache」みたいなそれっぽい名前もあった)
- 勝手に作られた管理者のアカウント
- 画像を置く
wp-content/uploadsの中のPHPファイル mu-pluginsのフォルダの、見覚えのないファイル- 決まった時間に処理を動かす予約(cron)
2026年10月のUpdraftPlus(バックアップのプラグイン)の事件では、盗まれた接続キーで、悪いプラグインを入れたり、管理者を作ったりしていました。
Patchstackは、悪いプラグインを99種類見つけたそうです。
更新すれば、消えるんじゃないの？
UpdraftPlusなら、修正版で盗まれたキーは使えなくなる。でも、もう入れられたものは消えないから、別に探す必要があるよ。
自分はこう確かめました
読むだけのコマンドで、置かれやすい場所を見た
10月の事件のあと、cat’s handが入られていないかを、Claude Codeに確かめてもらいました。
サーバーにSSHでつないで、WordPressのファイルがある場所で、WP-CLI(WordPressをコマンドで操作する道具)の読むだけのコマンドを使っています。
wp plugin verify-checksums --all
wp user list --role=administrator --fields=ID,user_login,user_registered
find wp-content/uploads -name "*.php*"
ls wp-content/mu-plugins
wp cron event list --fields=hook --format=csv
wp core verify-checksumsプラグインは4つとも公式の中身と同じ、管理者は8月から1人だけ、uploadsにPHPファイルはなし。
mu-pluginsのフォルダはなく、予約(cron)にも知らないものはありませんでした。
確かめた範囲では、仕込まれた跡はありませんでした。
もし見覚えのない管理者や、公式と違うと出たものがあったら、まずその中身を確かめます。
使っていないものは消しておいた
確かめる途中で、9月に切り替える前の古いテーマがサーバーに残っているのに気づきました。
使わないものを置いておく理由もないので、バックアップを取ってから消しています。
詳しい確認手順
確かめたコマンド7つと、10月の事件の中身は、こちらにまとめています。
迷ったときの確認ポイント
- 見覚えのないプラグインや管理者がいないか
- 画像フォルダ(uploads)にPHPファイルがないか、mu-pluginsに見覚えのないファイルがないか
- 本体やプラグインが、公式の中身と同じか(
wp core verify-checksums・wp plugin verify-checksums --all) - 見つけてもすぐ消さず、本当に悪いものか確かめる。自信がなければ、サーバー会社などに相談する
あわせて知っておきたい用語
