WordPress に知らないユーザー（管理者）が追加されているときにやること

WordPress に知らないユーザーが追加されている状況には、制作会社が作業用に作ったアカウントを社内が知らなかっただけのものから、第三者が侵入して作った管理者アカウントまで、さまざまなケースがあります。見た目は同じでも、やるべきことはまったく違います。

誰のアカウントかを確かめる手順を知っておけば、あわてて消して保守を止めたり、侵入を見逃したりせずに済みます。誰も心当たりのない管理者アカウントは、サイトの中に入られたことを示す兆候のため、アカウントを消すだけで終わらせないことが重要です。

本記事では、知らないユーザーを見つけたときにまず確かめること、追加される原因、不正な管理者を見つけたときの対処の手順をまとめています。さらに、ユーザー以外に確かめる場所、専門家に相談すべき条件、予防策も紹介します。

WordPress に知らないユーザーが追加されているときにまず確かめること【早見表】

WordPress に知らないユーザーが追加されているときは、権限が管理者かどうかと、誰が作ったかを先に確かめます。管理者はサイトのほぼすべてを変えられるため、管理者の不正アカウントは急ぎの対処が要るからです。

ここでは、管理者だけを一覧で出す手順、一人ずつ確かめる観点、結果から次の行動を決める早見表を紹介します。確かめる前に、ユーザー一覧のスクリーンショットを残しておきましょう。

管理者だけを一覧で出す

ユーザーの確認は、管理画面の「ユーザー一覧」で権限ごとに絞り込むと速く進みます。WordPress のユーザー一覧は、権限グループごとに表示を切り替えられるからです（WordPress.org）。

1. 管理画面の「ユーザー」→「ユーザー一覧」を開きます
2. 一覧の上にある権限グループの絞り込みから「管理者」を選びます
3. 表示された全員の「ユーザー名」「名前」「メールアドレス」を、スクリーンショットで残します

※2026年10月時点・WordPress.org の公式ドキュメントより

管理者のほかに、「編集者」など投稿を書き換えられる権限のユーザーも、同じ手順で確かめておきます。

一人ずつ誰のアカウントかを確かめる

管理者の一覧が出たら、一人ずつ持ち主を確かめます。社内の誰も知らないアカウントでも、制作会社や保守会社が作業用に作ったものの場合があるからです。確かめる観点は、以下のとおりです。

確かめること	見るところ
社内の人か	名前とメールアドレス。辞めた人のアカウントも含めて洗い出す
制作会社・保守会社のものか	契約している会社に、ユーザー名とメールアドレスを伝えて問い合わせる
メールアドレスのドメイン	無料のメールサービスや、見覚えのない海外のドメインなら要注意
名前の不自然さ	「admin」に似せた名前、意味のない英数字の並び、名前やアドレスが空欄

制作会社に問い合わせても誰も心当たりがなければ、不正なアカウントとして扱ってください。

確かめた結果から次の行動を決める

確かめた結果ごとに、考えられることと次の行動は以下のとおりです。

確かめた結果	考えられること	次の行動
制作会社・保守会社が作ったと分かった	作業用のアカウント	不要なら削除を依頼し、社内の資料に残す
辞めた人や契約が終わった会社のアカウント	放置されたアカウント	削除するか権限を下げ、パスワードを変える
誰も心当たりのない管理者	第三者の侵入	以下の「対処【8STEP】」に進む
知らない購読者が大量に増えている	ユーザー登録の機能が開いている	登録の設定を確かめる

誰も心当たりのない管理者がいた場合は、アカウントを消す前に、以下の原因と対処を読んでください。

WordPress に知らない管理者が追加される原因

WordPress に知らない管理者が追加される原因は、主に3つです。どれが原因かによって、ふさぐべき入口が変わります。

ここでは、3つの原因と、どんなときに疑うかを紹介します。

管理者のパスワードの流出・使い回し

既存の管理者のパスワードが漏れると、第三者が管理画面に入り、自分用の管理者アカウントを作ります。管理者は、ほかのユーザーを作る権限を持っているからです。たとえば、ほかのサービスと同じパスワードを使っていて、別のサービスから漏れたパスワードで入られることがあります。

ただし、パソコンがウイルスに感染していると、パスワードを変えても新しいパスワードがまた盗まれます。

WordPress 本体・プラグイン・テーマの脆弱性

脆弱性（セキュリティの弱点）を使われると、ログインしなくても管理者アカウントを作られることがあります。古いバージョンのまま動いているサイトは、公表された弱点を狙われやすいからです。たとえば、2026年7月17日には WordPress 本体の脆弱性（CVE-2026-60137・CVE-2026-63030）を直す 7.0.2・6.9.5・6.8.6 が公開され、WordPress.org は対象のサイトに自動更新で修正を配りました（WordPress.org News）。

ただし、更新で入口はふさがっても、更新の前に作られたアカウントやファイルは残ります。詳しくは WordPress 本体の脆弱性「wp2shell」とは。自社サイトの確認手順 で解説しています。

ユーザー登録の設定の誤り

ユーザー登録の設定が開いていると、誰でもアカウントを作れてしまいます。管理画面の「設定」→「一般」で、誰でも登録できる設定と、新しいユーザーに付く権限を決めているからです（WordPress.org）。

【確認ポイント】

• 「メンバーシップ」の「だれでもユーザー登録ができるようにする」がオンになっていないか
• 「新規ユーザーのデフォルト権限グループ」が「管理者」になっていないか

会員登録の機能を使っていないのにオンになっている、またはデフォルトが「管理者」になっている場合は、誰かが変えた可能性もあります。変える前に、スクリーンショットで記録しておきましょう。

WordPress の不正な管理者を見つけたときの対処【8STEP】

WordPress の不正な管理者を見つけたときは、消す前に記録を残し、入口と裏口をふさいでから消すのが基本です。先に消すと、いつから入られていたか、何をされたかを調べる手がかりがなくなるからです。

ここでは、WordPress.org の「サイトがハッキングされたら」という案内（WordPress.org）をもとに、対処の順番を8STEPで紹介します。

1. 【STEP1】記録を残す：気づいた日時、不正なアカウントのユーザー名・メールアドレス、ほかに見つけた異変を書き出します。WordPress.org も、最初にやることとして記録を挙げています
2. 【STEP2】今の状態を丸ごと残す：ファイルとデータベースのバックアップを取ります。改ざんされた状態のままでも、あとで何が起きたかを調べるのに使います
3. 【STEP3】使っているパソコンを確かめる：管理画面に入っている人のパソコンを、ウイルス対策ソフトでフルスキャンします
4. 【STEP4】すべてのパスワードを変える：WordPress の管理者全員、サーバー会社の管理画面、FTP（ファイルを送る仕組み）、データベースのパスワードを変えます。WordPress.org は、サイトに入れるすべての人のパスワードを変えるよう求めています
5. 【STEP5】ログイン中の人を追い出す：自分のプロフィール画面の「他のすべての場所でログアウト」で、自分のアカウントのほかの端末のログインを切れます（WordPress.org）。全員を一度に追い出すには設定ファイルの書き換えが要るため、慣れた人に頼みます
6. 【STEP6】不正なアカウントを削除する：「ユーザー一覧」でアカウントの「削除」を選びます。削除の画面では、そのユーザーの投稿を一緒に消すか、ほかのユーザーに引き継ぐかを選べます（WordPress.org）
7. 【STEP7】登録の設定と入口を直す：会員登録を使っていなければ登録をオフにし、デフォルトの権限を「購読者」などに戻します。WordPress 本体・プラグイン・テーマを最新にし、使っていないものは削除します
8. 【STEP8】きれいになったら、もう一度パスワードを変える：WordPress.org は、掃除が終わったあとにも改めてパスワードを変えるよう案内しています

STEP4〜6の順番が前後すると、消したあとに残った入口からまたアカウントを作られることがあります。作業の担当を分ける場合も、順番を共有してください。

WordPress のユーザー以外に確かめる5つの場所

不正な管理者が作られていたなら、ユーザー以外にも手が加えられている前提で点検します。侵入した側は、アカウントを消されても戻ってこられるように、裏口になるファイルを置くことがあるからです。

ここでは、ユーザー以外に確かめる5つの場所を紹介します。ファイルを見る作業は、サーバーの操作に慣れた人に頼んでください。

確かめる場所	見るところ
プラグインの一覧	入れた覚えのないプラグインがないか。「必須」の欄（mu-plugins）も見る
テーマ	使っていないテーマや、覚えのないテーマがないか
アップロードのフォルダ（wp-content/uploads）	画像などの置き場所に、PHP のファイルがないか
投稿・固定ページ	身に覚えのないページや、外部へのリンクがないか
サーバーのログ	不正なアカウントが作られた時期のアクセスの記録

「必須」の欄に出るプラグイン（mu-plugins）は、すべてのサイトで自動で有効になり、管理画面から止められません。止めるには、サーバーの wp-content/mu-plugins フォルダからファイルを取り除く必要があります（WordPress Developer Resources）。

また、WordPress.org は、改ざんでは新しいファイルが足されることが多く、上書きするだけの再インストールでは取り除けないことがあると注意しています。HPの見た目や検索結果にも異変があれば、HPが改ざんされたときに最初にやること と WordPress が乗っ取られたときの復旧の流れ の手順で進めてください。

WordPress の不正なユーザーで専門家に相談すべきとき

WordPress の不正なユーザーは、サイトの中に入られたことを示すことが多い兆候です。アカウントの削除は管理画面でできても、裏口の発見や入られた原因の特定には専門の知識が要ります。

ここでは、専門家に相談すべき条件を紹介します。いま被害が出ているなら、ひとりで抱え込まずに相談してください。

【相談すべき条件】

• 不正な管理者を消しても、また作られる
• 見覚えのないプラグインやファイルが見つかった
• HPを開くと別のサイトに飛ばされる、検索結果に知らないページが出る
• 問い合わせフォームや会員の情報など、個人情報を扱っている
• サーバーのファイルやデータベースを操作できる人がいない

個人情報が漏れたおそれがある場合は、個人情報が漏れたときの報告義務（個人情報保護委員会） を確かめてください。報告が必要かどうかの最終的な判断は、弁護士などの専門家にご相談ください。

「自社が対象か分からない」「作業する人がいない」場合は、HPの移管・保守サービス『サイガード』の無料診断をご利用ください。URLを送るだけで、外から見える範囲をセキュリティの専門家が確認します。

WordPress に不正なユーザーを作られないための対策

WordPress に不正なユーザーを作られないためには、管理者を減らし、ログインを守り、更新を止めないことが基本です。入口がふさがっていれば、管理者アカウントを作られる機会が減るからです。

ここでは、続けたい対策を4つ紹介します。

1. 管理者を最小限にする：管理者は必要な人だけにし、ふだんの更新作業は「編集者」など弱い権限のアカウントで行います
2. パスワードを長く、使い回さない：管理者ごとに別のパスワードにし、辞めた人や契約が終わった会社のアカウントは削除します
3. 2段階認証を入れる：パスワードに加えて、スマホのアプリなどで確かめる仕組みを使います
4. ユーザー一覧を定期的に見る：月に1回など日を決めて、管理者の一覧と登録の設定を確かめます

WordPress 本体・プラグイン・テーマの更新は、自動更新と定期的な確認を組み合わせると止まりにくくなります。

あわせて読みたい
HPがおかしい？ 改ざんの前ぶれを症状別に確かめるチェック表

まとめ

• WordPress に知らないユーザーが追加されていたら、「ユーザー一覧」で管理者に絞り込み、一人ずつ持ち主を確かめます
• 制作会社にも心当たりのない管理者は侵入の兆候で、消す前に記録とバックアップを残します
• すべての管理者・サーバー・FTP・データベースのパスワードを変え、ログイン中の人を追い出してからアカウントを削除します
• アカウントを消すだけでは裏口が残るため、プラグイン・アップロードのフォルダ・入られた原因まで点検します

自社で点検できない、またアカウントを作られる場合は、記録を残したうえで専門家に相談してください。