WordPressの管理画面ですが、ついついログインしっぱなしで作業していませんか？
ログアウトは手間で後回しになりがちなことも多いと思います。
実は2026年10月27日ごろ、そのログインしっぱなしの状態を狙ってサイトに裏口を作る攻撃の手口が、Securonix（セキュロニクス）から報告されました。
この記事では、何が起きたのか、まだ分かっていないこと、ログインしたままの場所を洗い出してログアウト方法、気になるときの確認方法をまとめました。
何が起きたのか
WordPressの管理画面を開くたびにパスワードを入れなくて済むのは、ログインしたときにブラウザへ保存される「Cookie（クッキー）」が、ログイン中であることの証明になっているからです。今回の手口が使うのは、パスワードではなく、このCookieです。
報告されている流れを、順に書きます（2026年10月28日時点）。
仕掛けの入ったページを開く
管理者がログインしたままのブラウザで、仕掛けの入ったページを開きます。
偽の確認画面が表示される
Cloudflare（クラウドフレア）の確認画面に似た偽の画面が表示され、簡単なパズルを解くよう求められます。この間に、画面の大きさやインストール済みプラグインの数などが、攻撃者のサーバーへ送られます。
ログイン中のCookieでアップロード画面が開かれる
攻撃者のサーバーが続行を決めると、ブラウザに残っているCookieを使ってプラグインのアップロード画面が開かれ、画面に埋め込まれた確認用の使い捨てコード（nonce）が読み取られます。
偽のプラグインが有効になる
偽のプラグイン「Web Media Optimizer」（バージョン2.1）が、管理者の操作を装ってアップロード・有効化されます。
コピーが「mu-plugins」に置かれる
有効化と同時に、自分自身のコピーを「mu-plugins」というフォルダーに置きます。
偽のプラグインには、外部のJavaScriptをサイトに読み込ませる機能と、決まった合言葉を送ると管理者としてログインできてしまう機能があると報告されています。
この手口はログインを破るものではなく、すでに済んだログインを使うものです。Securonixもそう説明しています。パスワードを強くしてもログインをしている状態が問題となります。
ログアウトで何が変わるのか
悪意のある仕掛けがどのページに入り込むのかはサイトを見ているだけの人は見分けられません。
見分けられない以上、手元で変えられるのはログインを残さないほうです。ログアウトすると、ブラウザのCookieが使えなくなり、仕掛けのページを開いても、プラグインのアップロード画面を開く段階で止まります。
| ログインの状態 | 仕掛けの入ったページを開いた | 開かなかった |
|---|---|---|
| ログインが残っていた | 偽のプラグインを入れられるおそれがある | 何も起きない |
| ログアウトしていた | この手口では入れられない | 何も起きない |
まだ分かっていないこと
報告の時点で分かっていない3点
- 最初の仕掛けの入り込み方。報告した研究者も突き止められていません。改ざんされたテーマやプラグイン、不正な広告、別のページからの転送などが候補に挙がっているだけです。
- 仕掛けのページの範囲。管理画面と同じサイトのものに限られるのか、ほかのサイトでも成り立つのかは、記事に明記がありません。
- 日本での被害。日本のサイトで被害が出ているかどうかは、この記事を書いた時点では確認できていません。
Securonixは、管理画面にログインしたまま公開サイトや関係のないサイトを見ないよう勧めています。区別が分からない以上、「ログインしたままにしない」がいちばん確かな線引きになります。
今日からできること
残っているログインを全てログアウトする
ログインのCookieが残っているのは、いま開いている管理画面のタブだけではありません。最後にログインしてから2日以内（「ログイン状態を保存する」にチェックを入れていた場合は14日以内）の場所は、WordPressの標準の設定では、すべて対象です。
- いつも使っているブラウザ（ブラウザを開いている間は、タブを閉じても残ります）
- 別のブラウザ（ChromeとSafariの両方でログインしたことがある場合など）
- 別のパソコン、スマートフォン、タブレット
まとめてログアウト方法
管理画面の「ユーザー」→「プロフィール」を開き、「アカウント管理」の「セッション」にある「他のすべての場所でログアウト」を押します。いま使っているブラウザ以外のログインが、すべて切れます。そのあと、いまのブラウザでもログアウトすれば、残りはありません。
ログアウトできたかは、ご自分のサイトの「/wp-admin/」を開いて確かめられます。ログインの画面が出れば、切れています（ログインのURLを変えているサイトでは、変更後のURLで確かめてください）。
管理作業は、ふだん使いとは別のブラウザで行う
Chromeなら右上のプロフィールのアイコンから別のプロファイルを追加できます。
管理画面専用のプロファイルを作り、そこでだけWordPressにログインしておけば、ログインの残る場所と、ふだんのウェブ閲覧の場所が重なりません。Securonixも、WordPressの管理用に専用のブラウザかプロファイルを使うことを勧めています。
プラグインを入れられる権限は、必要な人だけに
この手口が使うのは、プラグインをインストールできる権限です。投稿を書くだけの方は「編集者」や「投稿者」の権限にしておけば、報告されている手口では、その方のログインは対象になりません。管理者の権限は、サイトの設定やプラグインを触る方に絞ってください。
気になるときの確認
すでに入り込まれていないか気になる場合は、次の2か所を見てみてください。
確認する2か所
- 管理画面の「プラグイン」に見覚えのない「Web Media Optimizer」がないか
- サーバーの「wp-content/mu-plugins/」フォルダーに、「wmedia-recovery.php」というファイルがないか（FTPソフトやサーバーのファイルマネージャーで確認できます）
よくあるご質問
-
使い終わるたびにログインし直すのは、面倒です。
-
手間は増えます。パスワード管理アプリ（またはブラウザの保存機能）にパスワードを入れておけば、ログインし直す手間はかなり減ります。
-
パスワードを強くしておけば、大丈夫ではないですか？
-
この手口はパスワードを使いません。ブラウザに残っているCookieを使うので、パスワードの強さでは防げません。パスワードを強くすることは、ほかの攻撃への備えとして続けてください。
-
「ログイン状態を保存する」にチェックを入れています。外したほうがいいですか？
-
外しておくと、ログインの有効期間が14日間から2日間に短くなります。それでも、使い終わったらログアウトする習慣のほうが確実です。
-
ログアウトすればすでに入り込まれていても大丈夫ですか？
-
いいえ。ログアウトは、これから入り込まれるのを防ぐものです。すでに置かれた偽のプラグインやコピーは、ログアウトでは消えません。上の「気になるときの確認」の2か所を見てください。
-
制作会社や保守の担当者にサイトを任せています。何かすることはありますか？
-
ご自分では管理画面に入らない方は、特に作業はありません。担当の方に、管理作業用のブラウザを分けているかを聞いてみてください。ご自分でも管理画面に入る場合は、上の3つをお願いします。
ひとりで抱えなくて大丈夫です
- うちのサイトに入り込まれていないか、サーバーの中まで見てほしい
- 管理画面のログインや権限を、安全な形に整えたい
- 何から手をつければいいか分からない
という方はご相談ください。サイトの様子をうかがってから、必要な作業とお見積もりをご案内します。
参考
同じ月に書いた、WordPressをお使いの方への注意喚起です。
【WordPressをお使いの方へ】PHPの脆弱性！まず確かめたいことと各レンタルサーバーの対応状況
PHPの重大な脆弱性、多くのレンタルサーバーではすでに対応済みです。慌てて触る前に、まずは自分のサーバーの状況を確かめましょう。主なレンタルサーバー7社の対応状況と、古いPHPを切り替えるときの手順をまとめました。
- TRUST#GRAFT: WordPress Admin Attack Deploys PHP Backdoor（Securonix・英語）
- Hackers Can Abuse Logged-In WordPress Admin Sessions to Secretly Install PHP Backdoors（Cybersecurity News・英語）
ホームページの新規作成・リニューアルで
お困りの担当者様へ
WordPressの機能を活かして運用しやすいホームページを作成
せっかくのWordPressなのに「自分で文章が書き換えられない」「ブログの更新ができない」などWordPressの機能を活かしきれていないことはありませんか？
ゆーそうとではWordPressの機能を最大限発揮して、HTMLなどの知識がないお客様でも運用しやすいホームページを作成します。