htaccessの不正な記述を確認・削除

ファイルマネージャーまたはFTPで /○○○○○/○○○○○/www/○○○○○/ 内の .htaccess を開き、’auto_prepend_file’ や ’47dd0744.php’ を含む行がないか確認します。
見つかったら該当行を削除（または該当行だけコメントアウト）して保存してください。

※.htaccessとphp.iniのauto_prepend_file設定）が、今回のエラーの直接原因である可能性が高いです。
php_value auto_prepend_file “/home/○○○○○/www/○○○○○/wp-content/47dd0744.php”
php_value auto_prepend_file “/home/○○○○○/www/○○○○○/wp-content/47dd0744.php”
php_value auto_prepend_file “/home/○○○○○/www/○○○○○/wp-content/47dd0744.php”

htaccess内に記述がありました！
早速削除してアップロード修正します。
元のファイルも念の為バックアップしてください。（.htaccess.bacとして名前変更等）

管理画面に入ることができます

サイトが改ざんされた根本原因の追究

• wp-contentフォルダ内に47dd0744.phpのような見覚えのないランダム名の.phpファイルが他にもないか
• WordPress本体・プラグイン・テーマが古いバージョンのままになっていないか（更新されていない場合、同じ手口でまた改ざんされる可能性があります）
• 管理者アカウントに見覚えのないユーザーが追加されていないか（ユーザー一覧を確認）

見覚えのないファイルが埋め込まれてました！！
.user.iniには8e3a○○.phpのリンクが入っており.htaccessを修正しても悪さをし続けます。
攻撃者は二重に仕込んでいたのです💦

.htaccessの方だけ直したので今は表示が復活していますが、サーバーの設定によっては.user.iniの方が優先される、あるいは今後有効になるケースもあるため、これも必ず消す必要があります。

wp-content内のマルウェア対策

• .user.iniを削除（プログラム内の記述を削除して保存してもよいのですがこのファイル自体が要りません。）
• 削除してから
  wp-content/47dd0744.phpwp-content/8e3abb6e.php ← .user.iniが読み込んでいた本体。最重要
  wp-content/.8e3abb6e.php（隠しファイル） wp-content/db.phpwp-content/a4a09194.zip
  削除
  db.phpは削除する前に内容を確認してから消す必要があるファイルです。
  今回は変数名や関数名が意味のない文字列に置き換えられ、文字列も難読化（バラバラに分解して復元する処理）されています。正規のWordPressやプラグインのコードがこのような書き方をすることはないため
  マルウェア特有の難読化コードでこれは間違いなく不正なファイルでした。速やかに削除となりました。

WP File Managerは、攻撃で最も多く悪用されるプラグインの一つ

不審なユーザーの削除

権限グループが全員「管理者」になっている点が非常に危険です。特に以下は攻撃者が作成したアカウントの可能性が高い

自分のログインできるアカウント以外は削除
※共同管理者がいる場合は注意して残してください。

復旧作業

wp-content/plugins/ → 中身が空（プラグインが全部消えている）

wp-content直下の他のフォルダ（themes、uploads、wpvividbackupsなど）→ 残っている

wpvividbackups　バックアップファイルより復元できる

再び、同じような現象が起きた場合。

マルウェアが他にも埋め込まれ、自動的に同じ現象をくりかえします。

下記のようなCLOUDFLAREが表示されたばあい
「Cloudflareを装って PowerShell/Terminal を管理者で開き、貼り付けてEnterを押させる」方式は、一般に ClickFix と呼ばれる攻撃です。本物のCloudflare認証ではありません。Microsoftも、Cloudflare Turnstileを模倣してコマンドをクリップボードへコピーし、利用者自身に実行させる攻撃を確認しています

2026年には、WordPressサイトに偽Cloudflare認証を仕込む大規模な事例も報告されています。脆弱なWordPressを自動探索して侵入し、一般閲覧者に偽CAPTCHAを表示する攻撃で、250以上のサイトが侵害されたとの報道もあります

勝手に管理者ユーザーを作り、administrator権限を与える処理をおこなったり

さらに一般閲覧者に難読化JavaScriptを挿入し、管理者としてログインしている人には実行しない仕組みとなっております。
正常なページが一瞬表示されたあとClickFix画面に置き換わるケースもあります。

ClickFix攻撃で使われる「サイト管理者には気付かれにくく、訪問者を狙う」という手口

WordPress管理者でログインしている人には不正画面を出さないプログラムになっています

「どこに設置されるのか」

ここが厄介で、決まった1か所ではありません。

実行してしまうと
閲覧者のWindows PC側がマルウェアに感染する可能性があります
利用者が「 Enter」をすると、そのコマンドが外部から別のプログラムを取得・実行します。

偽Cloudflareは、サイトそのものを壊すのが最終目的ではなく、サイトを踏み台にして閲覧者自身に不正コマンドを実行させる「ClickFix」型です。

PowerShell/Terminalを管理者として開く」 よう要求しています。これを実行した場合は、通常権限より深い変更をPCに許してしまう可能性があるため、より慎重な対処が必要です

PowerShellを開いた → Ctrl+Vした → Enterを押した
人がいる場合は、そのPCについてはWordPressとは別に対処しましょう。まずネットワークから切り離し、別の安全な端末から重要アカウントのパスワード変更とセッション無効化を行い、Windows Defender等でフル／オフラインスキャンを実施してください。