WordPress の乗っ取りから復旧する流れ【8STEP】

WordPress の乗っ取りは、知らない管理者アカウントの追加、別のサイトへの転送、検索結果へのスパムページの追加など、さまざまな形で表に出ます。見た目を直しただけでは、攻撃者が残した裏口から再び入られることがあります。

復旧の順番を知っておくと、証拠を消さずに済み、同じ入口から再び乗っ取られるのを防げます。自分でできる作業と、専門家に頼む作業の境目も分かります。

本記事では、WordPress の乗っ取りから復旧する流れを、最初にやること・乗っ取りの確かめ方・原因・8つの手順に分けてまとめています。さらに、復旧がうまくいかないときの対処と、再発を防ぐ対策も紹介します。

WordPress の乗っ取りから復旧する流れ【早見表】

WordPress の乗っ取りの復旧は、記録とバックアップ → パスワードの変更 → 本体の入れ直し → 原因の確認、の順で進めます。WordPress.org の公式ガイド「FAQ My site was hacked」も、きれいにしてから更新する順番で案内しています。

ここでは、復旧の流れの全体を早見表にまとめ、最初にやること3つを紹介します。STEP5〜6はサーバーのファイルを直接扱うため、慣れていなければ専門家に頼むのが安全です。

STEP	やること	だれがやるか
1	記録と、感染した状態のバックアップを取る	自社・サーバー会社
2	管理に使うパソコンを検査する	自社
3	全員のパスワードを変え、ログイン中の人を締め出す	自社（キーの作り直しは専門家）
4	復旧の方法を選ぶ（バックアップから戻す／入れ直す）	自社と専門家で相談
5	本体を同じバージョンで入れ直す	専門家・制作会社
6	よく狙われるファイルとデータベースを確かめる	専門家・制作会社
7	更新し、パスワードをもう一度変える	自社・専門家
8	原因を確かめ、Google の警告を外す	専門家

※WordPress.org「FAQ My site was hacked」・web.dev をもとに作成（2026年10月時点）

復旧の前に最初にやること3つ

WordPress の乗っ取りに気づいたら、復旧の作業に入る前に、記録・連絡・バックアップの3つを済ませます。最初に掃除を始めると、どこから入られたかを調べる手がかりが消えるからです。たとえば、WordPress.org のガイドは、乗っ取りに気づいて最初にやることとして「記録」を挙げています。

最初にやることは、以下のとおりです。

1. 症状と時刻を記録する：何を見て乗っ取られたと思ったか、気づいた時刻、最近やったこと（プラグインを入れた等）を書き出し、画面を撮る
2. サーバー会社と制作会社に連絡する：共用のレンタルサーバーでは、被害が自社だけにとどまらないことがある。公開を止めるかもこのときに相談する
3. 感染した状態のバックアップを取る：ファイル一式とデータベースを、掃除を始める前の状態で残す

ほかの被害も起きているならサイバー事故の対応、最初の1時間でやることを、改ざん全般の初動はホームページの改ざんの対処、最初にやることを確かめてください。

WordPress が乗っ取られたか確かめる方法

WordPress が乗っ取られたかは、表に出ている症状と、管理画面・検索結果・サーバー会社の連絡で確かめます。自分のパソコンで見て正常でも、裏で管理者アカウントが追加されていることがあるためです。

ここでは、乗っ取りのよくある症状と、確かめる場所を紹介します。1つでも当てはまれば、乗っ取りとして扱って復旧を進めてください。

WordPress の乗っ取りのよくある症状

WordPress の乗っ取りは、見た目の変化だけでなく、外部からの指摘で分かることも多くあります。攻撃者は、気づかれないように裏で動く仕組みを置くことが多いからです。たとえば、WordPress.org のガイドは、サーバー会社にサイトを止められた、閲覧した人のウイルス対策ソフトが警告を出す、といったことを乗っ取りのしるしに挙げています。

よくある症状は、以下のとおりです。

症状	裏で起きていることの例
開くと別のサイトに飛ばされる	.htaccess（サーバーの動きを決める設定ファイル）などの書き換え
身に覚えのない広告やページが出る	不正なプログラムやスパムページの追加
管理画面にログインできない	パスワードやユーザーの書き換え
知らない管理者ユーザーがいる	攻撃者が自分用のアカウントを追加
Google で「危険なサイト」と出る、サーバー会社に止められた	マルウェア（不正なプログラム）の設置

上記の症状が出ていなくても、裏口（何度でも入れる不正なファイル）が置かれていることがあります。

管理画面・検索結果・サーバー会社で確かめる

乗っ取りの確認は、管理画面・検索結果・Search Console・サーバー会社の連絡の4か所で進めます。1か所だけ見ても、ほかの場所に残った痕跡を見落とすからです。たとえば、管理画面の「ユーザー」で権限が「管理者」の人を並べると、知らないアカウントが紛れていないかがすぐ分かります。

確かめる場所と見ることを、表にまとめます。

確かめること	どこで見るか
知らない管理者ユーザーがいないか	管理画面の「ユーザー」→「ユーザー一覧」
入れた覚えのないプラグインがないか	管理画面の「プラグイン」→「インストール済みプラグイン」
検索結果に知らないページが出ていないか	Google で「site:自社のドメイン」と検索する
Google から警告が出ていないか	Search Console の「セキュリティの問題」
WordPress・プラグイン・PHP が古くないか	管理画面の「ダッシュボード」→「更新」

※2026年10月時点の画面の名前です

知らない管理者を見つけたときはWordPress に知らない管理者アカウントが増えているときにやること、管理画面に入れないときはWordPress の管理画面にログインできないときの原因と対処で確かめてください。

WordPress が乗っ取られる主な原因

WordPress が乗っ取られる主な原因は、更新されていないソフトの脆弱性と、盗まれたログイン情報です。原因によって、復旧のときにふさぐべき入口が変わります。

ここでは、よくある原因を表にまとめ、2026年に公表された重大な脆弱性も紹介します。自社のサイトに当てはまるものがないかを確かめてください。

原因	中身
本体を更新していない	公表済みの脆弱性が残ったまま
プラグイン・テーマの脆弱性	更新が止まったプラグインや、配布元の分からないテーマが入口になる
弱い・使い回しのパスワード	ほかのサービスから漏れたパスワードで入られる
管理に使うパソコンのウイルス	パソコンに入り込んだ不正なプログラムが、ログイン情報を盗む
古い PHP	WordPress を動かすサーバー側のプログラムの脆弱性

2026年7月17日には、WordPress.org が WordPress 本体の脆弱性（CVE-2026-60137／CVE-2026-63030、通称 wp2shell）を直す 7.0.2 を公開し、古い系列向けに 6.9.5・6.8.6 も出しました。さらに、10月21日には php.net が PHP の脆弱性 CVE-2026-109618／109619（通称 php2shell）の修正版を公開しています（※2026年10月時点・WordPress.org、php.net より）。くわしくはWordPress 本体の脆弱性「wp2shell」とはとPHP の重大な脆弱性、中小企業のHPで今やることで確かめてください。

WordPress の乗っ取りを復旧する手順【8STEP】

WordPress の乗っ取りの復旧は、8つのSTEPを順に進めます。WordPress.org の公式ガイドと web.dev の案内をもとに、中小企業の担当者が自分でできる作業と、専門家に頼む作業を分けて並べました。

ここでは、STEPごとにやることと注意を解説します。STEP5〜6はサーバーのファイルを扱う作業のため、内容を理解したうえで専門家に任せる判断も大切です。

【STEP1】記録と、感染した状態のバックアップを取る

最初に、症状の記録と、感染した状態のままのバックアップ（ファイル一式とデータベース）を取ります。原因を調べる手がかりになり、作業に失敗したときに戻る場所にもなるからです。たとえば、web.dev は、感染した状態のバックアップに「感染」と分かる名前をつけて分けて保管するよう案内しています。

ただし、感染した状態のバックアップは、そのまま本番に戻すものではありません。調査用として、ほかのバックアップと混ざらないように保管してください。

【STEP2】管理に使うパソコンを検査する

WordPress を管理しているパソコンは、すべてウイルス検査をします。WordPress.org のガイドは、攻撃のきっかけが手元のパソコンにあることが多いとしているからです。たとえば、パソコンに入り込んだ不正なプログラムが、FTP や管理画面のログイン情報を盗み見て、持ち主になりすましてログインする手口があります。

なお、検査は Windows でも Mac でも行います。検査が終わるまでは、そのパソコンでパスワードを変えないようにしましょう。

【STEP3】全員のパスワードを変え、ログイン中の人を締め出す

パスワードは、サーバーの管理画面・FTP・SFTP・データベース・WordPress の全ユーザーのものを変えます。どのアカウントから入られたか分からない段階では、1つでも古いままにすると入り直されるからです。たとえば、WordPress.org のガイドは、wp-config.php（WordPress の設定ファイル）にある秘密のキーを、公式の生成ツールで作り直した値に書き換えるよう案内しています。

STEP3でやることは、以下のとおりです。

• 全ユーザーのパスワードの変更（特に管理者）
• wp-config.php のキーの作り直し（ログイン中の人が、攻撃者を含めて強制的にログアウトされる）
• 知らない管理者ユーザーの削除（名前を記録してから）
• 二段階認証の設定（パスワードに加えてスマホなどで確かめる仕組み）

キーの書き換えは設定ファイルを直接触る作業のため、慣れていなければ制作会社や専門家に頼みます。

【STEP4】復旧の方法を選ぶ

復旧の方法は、「乗っ取られる前のバックアップから戻す」か「ファイルを入れ直して掃除する」かのどちらかを選びます。バックアップの有無と日時によって、選べる方法が変わるからです。たとえば、毎日のバックアップが30日分あっても、乗っ取られた日がそれより前なら、どのバックアップにも不正なファイルが入っています。

2つの方法を、向いている場合と注意で比較します。

方法	向いている場合	注意
バックアップから戻す	乗っ取られる前の日時のバックアップがある	戻したあとも、入られた原因をふさがないと再び乗っ取られる。戻した日以降の更新は消える
入れ直して掃除する	使えるバックアップがない、乗っ取られた日が分からない	不正なファイルの洗い出しに時間がかかる。専門家の作業になることが多い

どちらの方法でも、STEP7の更新とパスワードの変更は欠かせません。バックアップの取り方と戻せるかの確かめ方は、WordPress のバックアップの取り方と、戻せるかの確認で確かめてください。

【STEP5】本体を同じバージョンで入れ直す

本体は、いま使っているのと同じバージョンのファイルで入れ直します。違うバージョンにすると、テーマやプラグインが合わずにサイトが動かなくなるおそれがあるからです。たとえば、WordPress.org のガイドは、管理画面の「再インストール」機能を使わず、FTP・SFTP でファイルを置き換えるよう案内しています。

入れ直すときの注意は、以下のとおりです。

• 管理画面の再インストール機能は使わない（既存のファイルを上書きするだけのことが多く、攻撃者が新しく置いたファイルは残る）
• /wp-admin と /wp-includes は丸ごと置き換える
• /wp-content（テーマ・プラグイン・画像）は中身を確かめながら置き換える

テーマとプラグインも、公式の配布元から同じものを入れ直すのが安全です。

【STEP6】よく狙われるファイルとデータベースを確かめる

入れ直したあとは、攻撃者によく書き換えられるファイルと、データベースの中身を確かめます。本体を入れ直しても、設定ファイルやテーマのファイル、データベースに不正なコードが残ることがあるからです。たとえば、WordPress.org のガイドは、特に .htaccess を確かめるよう書いており、いちばん上のフォルダ以外にも置かれることがあるとしています。

確かめるものは、以下のとおりです。

確かめるもの	見ること
.htaccess	知らない転送の設定が足されていないか
index.php・wp-config.php	見覚えのないコードが足されていないか
テーマの header.php・footer.php・functions.php	不正なスクリプトが埋め込まれていないか
データベースのユーザーと設定	知らないユーザーや、サイトのURLの書き換えがないか

データベースを直接触る作業は、失敗するとサイトが動かなくなるため、専門家に任せるのが安全です。

【STEP7】更新し、パスワードをもう一度変える

きれいになったことを確かめてから、WordPress 本体・テーマ・プラグインを最新にし、パスワードをもう一度変えます。WordPress.org のガイドが、きれいになったのを確かめてから再び変えるよう書いているためです。たとえば、使っていないプラグインやテーマはこのときに削除します。web.dev も、使っていないプラグインなどを消すよう勧めています。

なお、PHP が古い場合は、あわせて上げる計画を立てます。更新が止まったプラグインの見分け方は更新が止まった WordPress プラグインの見分け方で確かめてください。

【STEP8】原因を確かめ、Google の警告を外す

最後に、どこから入られたかを確かめ、Google に警告が出ていれば審査をリクエストします。原因が分からないままだと、同じ入口をふさげたか判断できないからです。たとえば、WordPress.org のガイドは、何が起きたかを調べること（フォレンジック）は、技術やデータが足りず持ち主が自分でやるのは難しいことが多いとしています。

Google に警告が出ていた場合は、Search Console の「セキュリティの問題」から審査をリクエストします。web.dev の案内では、審査の期間はマルウェアで数日、スパムのハッキングで最長数週間です（※2026年10月時点・web.dev より）。手順はSearch Console に「セキュリティの問題」と出たときの対処で確かめてください。

WordPress の復旧がうまくいかないとき

WordPress の復旧がうまくいかないときは、症状から原因を絞り込みます。復旧の途中で起きるトラブルの多くは、手順の飛ばしや、不正なファイルの取り残しが原因です。

ここでは、よくある症状と原因、対処を表にまとめます。表の対処で直らない場合は、無理に作業を続けずに専門家に相談してください。

症状	考えられる原因	対処
直したのに再び乗っ取られた	裏口の取り残し、入られた原因が残っている	STEP5〜6をやり直し、原因を専門家に調べてもらう
入れ直したらサイトが動かない	違うバージョンを入れた	まず同じバージョンで入れ直し、きれいにしてから更新する
管理画面にログインできない	パスワードやユーザーの書き換え	パスワードの再設定。だめならデータベースのユーザー情報を専門家に直してもらう
検査で「問題なし」なのに転送される	検査で見つからない改ざん	.htaccess やテーマのファイルを確かめる
Google の警告が消えない	審査のリクエストをしていない、または不正なファイルが残っている	Search Console の内容を確かめて直し、審査をリクエストする

上記の表は、自分で原因を絞り込むための目安です。

WordPress の復旧を専門家に頼むべきとき

WordPress の復旧を専門家に頼むべきなのは、サーバーのファイルを扱えないときと、個人情報が関わるときです。手順を誤ると、証拠を消したり、サイトが動かなくなったりして、復旧がかえって遅れるためです。

ここでは、専門家に頼むべき条件と、自分でできることの境目を紹介します。いま被害が出ているなら、ひとりで抱え込まずに相談してください。

専門家に頼むべき条件は、以下のとおりです。

• FTP やデータベースの扱い方が分からない
• 直しても再び乗っ取られる
• 問い合わせフォームや会員の個人情報が盗まれたおそれがある
• 制作会社と連絡が取れない

自分でできることと専門家に頼むことを、表で比較します。

自分でできること	専門家に頼むこと
記録、サーバー会社への連絡	感染した状態のバックアップの取得
手元のパソコンのウイルス検査	本体・テーマ・プラグインの入れ直し
管理画面でのユーザー・プラグインの確認	.htaccess などの改ざんの確認と除去
パスワードの変更と二段階認証の設定	入られた原因の調査、Google への審査リクエスト

「自社が対象か分からない」「作業する人がいない」場合は、HPの移管・保守サービス『サイガード』の無料診断をご利用ください。URLを送るだけで、外から見える範囲をセキュリティの専門家が確認します。不正アクセスの被害は、都道府県警察のサイバー犯罪相談窓口や最寄りの警察署にも相談できます。個人情報が盗まれたおそれがあれば、個人情報が漏れたときの報告義務も確かめてください。

WordPress の乗っ取りを防ぐ対策

WordPress の乗っ取りを防ぐ基本は、更新を止めないことと、ログインできる人を絞ることです。一度乗っ取られたサイトは、同じ手口で再び狙われやすいため、復旧したあとの管理が重要になります。

ここでは、復旧後に続けたい対策を表にまとめます。自社で続けられないものは、保守会社に任せる範囲として整理してください。

対策	中身
更新を止めない	本体・テーマ・プラグイン・PHP を最新に保つ。自動更新が止まっていないかも確かめる
使っていないものを消す	停止中のプラグイン・テーマを削除する
ログインを守る	二段階認証を設定し、管理者の数を必要な人だけにする
バックアップを取る	サーバーとは別の場所に、定期的に取る。戻せるかも確かめる
異変に早く気づく	Search Console の通知を受け取り、管理画面のユーザーを定期的に見る

上記の対策のうち、セキュリティプラグインで防げるのは一部だけです。プラグインで足りない部分は、WordPress のセキュリティプラグインだけで足りる？とWordPress の自動更新はオンにすべき？で確かめてください。

まとめ

• WordPress の乗っ取りの復旧は、記録・サーバー会社への連絡・感染した状態のバックアップから始める
• 全ユーザーのパスワードを変え、wp-config.php のキーを作り直して攻撃者を締め出す
• 本体は管理画面からではなく、同じバージョンのファイルで入れ直し、.htaccess などを確かめる
• きれいにしてから更新し、パスワードをもう一度変え、入られた原因をふさぐ

自力での復旧が難しい場合は、専門家への相談か無料診断を利用してください。