WordPress「index.php書き換え」調査速報と対応まとめ（2026年2月）
WordPressにおけるindex.phpの改ざんは典型的なハッキング手法の一つであり、個別サイト単位では継続的に発生しています。報道がないこと＝安全、という意味ではありません。
index.phpが書き換えられると何が起きるのか
index.php はWordPressサイトの入口となる重要ファイルです。このファイルが不正に書き換えられると、以下のような被害につながる可能性があります。
- 外部の不正サイトへ強制的にリダイレクトされる
- マルウェアや不正な広告コードが埋め込まれる
- 検索結果が改ざんされる（SEOスパム）
- 訪問ユーザーがウイルス感染するリスクが発生する
- 管理権限を奪われ、再侵入を繰り返される
特に「トップページだけ挙動がおかしい」「アクセスすると別サイトへ飛ばされる」といった症状がある場合、index.phpの改ざんが原因であるケースは少なくありません。
最新動向（2026年2月5日時点）
直近のニュースやホスティング事業者の障害・メンテナンス情報、公開されているセキュリティレポートを確認しましたが、index.php書き換えに特化した広域攻撃や新たな手法の報告は確認されていません。
これは被害が存在しないという意味ではなく、個別サイトを狙った攻撃として常態化しているため、ニュースになりにくいという性質によるものです。
今すぐ取るべき一次対応チェックリスト
index.phpの改ざんが疑われる場合、被害拡大を防ぐため、以下の手順で冷静に対応してください。
- ① サイトの一時隔離
メンテナンス表示やアクセス制限で被害拡大を防止 - ② 全パスワードの変更
WordPress管理者・FTP/SFTP・サーバー管理画面・データベース - ③ バックアップの確保
現状の状態でも必ずバックアップを保存 - ④ index.phpの差分確認
公式WordPress配布ファイルと内容を比較 - ⑤ 単体修正で終わらせない
他ファイル・DB・ユーザー権限も必ず確認 - ⑥ サーバーログの確認
侵入経路や改ざん日時の特定
初心者向け補足
index.phpだけを元に戻しても、バックドア（再侵入用の仕掛け）が残っていると再発します。「直ったように見える状態」は最も危険です。
背景と主な原因
- 古いテーマ・プラグインの脆弱性
- 管理画面パスワードの使い回し
- FTP情報の漏洩
- セキュリティ対策未導入
- バックアップ未実施
再発防止のために
- WordPress本体・テーマ・プラグインの常時更新
- 二段階認証（2FA）の導入
- WAFの有効化（サーバーまたはプラグイン）
- 不要なテーマ・プラグインの完全削除
- 定期バックアップと世代管理
- ファイル改ざん検知の導入
FAQ（よくある質問）
Q. ニュースになっていないなら放置しても大丈夫？
A. 危険です。index.php改ざんは個別攻撃が多く、ニュースにならないだけです。
Q. 自分で復旧できますか？
A. 軽度であれば可能ですが、原因特定を誤ると再発率が非常に高くなります。
まとめと次の一手
index.phpの書き換えは、WordPressハッキングにおける明確な危険信号です。報道の有無に関係なく、異変を感じた時点での調査・対応が被害最小化につながります。
判断に迷う場合や不安がある場合は、早めに専門家へ相談することをおすすめします。
復旧バナー
参考リンク
本記事の調査・執筆にあたり、以下の情報を参考にしています。
- XServer VPS「障害・メンテナンス情報」
- サイバーセキュリティ総研（国内セキュリティ動向まとめ）
- WordPress公式サイト（日本語版）
