WordPressセキュリティ WordPressセキュリティニュースまとめ（2026年9月19日）
Hikosachi 開発チームです。本日は、人気のイベント管理プラグイン「The Events Calendar」で発見された、深刻度が最も高い未認証のリモートコード実行（RCE）脆弱性についてお伝えします。60万件以上のサイトで利用されて...
セキュリティ
WordPressセキュリティ 
脅威レポート（Daily） 【日次レポート】2026年9月19日の攻撃検知数：4,180件
[ 観測概要 ] : 9/19 は合計 4,180 件の攻撃を検知し、前日より 687 件増加（+19.7%）でした。blocked_hit を除いた検知では mail_auth_fail が 1,852 件で、全体の約 44.3% を占めています。[ 目立った攻撃元 ] : 最多は 45.150.174.97 の 61 件、推定手法は UA未設定でした。上位5IPだけで全体の約 5.9% を占めており、単発の広範囲スキャンだけでなく、少数IPからの集中アクセスにも注意が必要です。[ 運用者向けの確認ポイント ] : WordPressのログイン画面、xmlrpc.php、放置されたPHPファイル、バックアップファイルへのアクセスが増えていないかを確認してください。Hikosachi Protectorをご利用中の環境では検知IPを自動遮断していますが、管理画面の多要素認証や不要ファイルの削除も合わせて見直すと効果的です。
WordPressセキュリティ WordPressセキュリティニュースまとめ（2026年9月18日）
今回は「WordPress本体の緊急性の高いセキュリティ更新」と「実際に悪用が続いているプラグインの重大脆弱性」という、性質の異なる2件のニュースが重なりました。特に後者はパッチ公開から半年以上経っても攻撃が続いている点が特徴的で、導入プラグインの棚卸しと定期的なアップデート確認の重要性を改めて示す事例といえます。
脅威レポート（Daily） 【日次レポート】2026年9月18日の攻撃検知数：3,494件
[ 観測概要 ] : 9/18 は合計 3,494 件の攻撃を検知し、前日より 246 件増加（+7.6%）でした。blocked_hit を除いた検知では mail_auth_fail が 1,302 件で、全体の約 37.3% を占めています。[ 目立った攻撃元 ] : 最多は 195.178.110.242 の 95 件、推定手法は Linux Botでした。上位5IPだけで全体の約 8.9% を占めており、単発の広範囲スキャンだけでなく、少数IPからの集中アクセスにも注意が必要です。[ 運用者向けの確認ポイント ] : WordPressのログイン画面、xmlrpc.php、放置されたPHPファイル、バックアップファイルへのアクセスが増えていないかを確認してください。Hikosachi Protectorをご利用中の環境では検知IPを自動遮断していますが、管理画面の多要素認証や不要ファイルの削除も合わせて見直すと効果的です。
WordPressセキュリティ WordPressセキュリティニュースまとめ（2026年9月17日）
今回のケースは、パッチ公開から半年以上が経過してもなお大規模な悪用が続いている点が特徴です。WooCommerce関連の拡張プラグインを導入しているサイトでは、この機会にプラグイン一覧とバージョンを棚卸しし、「更新済みのはず」のプラグインも含めて実際のバージョン番号を確認することをおすすめします。
脅威レポート（Daily） 【日次レポート】2026年9月17日の攻撃検知数：3,248件
[ 観測概要 ] : 9/17 は合計 3,248 件の攻撃を検知し、前日より 492 件減少（-13.2%）でした。blocked_hit を除いた検知では mail_auth_fail が 562 件で、全体の約 17.3% を占めています。[ 目立った攻撃元 ] : 最多は 4.224.45.129 の 150 件、推定手法は PHPファイル探索でした。上位5IPだけで全体の約 15% を占めており、単発の広範囲スキャンだけでなく、少数IPからの集中アクセスにも注意が必要です。[ 運用者向けの確認ポイント ] : WordPressのログイン画面、xmlrpc.php、放置されたPHPファイル、バックアップファイルへのアクセスが増えていないかを確認してください。Hikosachi Protectorをご利用中の環境では検知IPを自動遮断していますが、管理画面の多要素認証や不要ファイルの削除も合わせて見直すと効果的です。
脅威レポート（Daily） 【日次レポート】2026年9月16日の攻撃検知数：3,740件
[ 観測概要 ] : 9/16 は合計 3,740 件の攻撃を検知し、前日より 987 件減少（-20.9%）でした。blocked_hit を除いた検知では mail_auth_fail が 1,729 件で、全体の約 46.2% を占めています。[ 目立った攻撃元 ] : 最多は 45.148.10.238 の 100 件、推定手法は Android偽装でした。上位5IPだけで全体の約 9.5% を占めており、単発の広範囲スキャンだけでなく、少数IPからの集中アクセスにも注意が必要です。[ 運用者向けの確認ポイント ] : WordPressのログイン画面、xmlrpc.php、放置されたPHPファイル、バックアップファイルへのアクセスが増えていないかを確認してください。Hikosachi Protectorをご利用中の環境では検知IPを自動遮断していますが、管理画面の多要素認証や不要ファイルの削除も合わせて見直すと効果的です。
リリース情報（Release Notes） 【リリース情報】Hikosachi Protector v3.2.1 を公開しました（通信のセキュリティ強化）
WordPress用プラグイン「Hikosachi Protector v3.2.1」を公開しました。脅威情報の通報時の通信に関するセキュリティ強化を行いましたので、すべてのユーザー様にアップデートをお勧めします。
WordPressセキュリティ WordPressセキュリティニュースまとめ（2026年9月15日）
今回ご紹介したCryptoPayment Gateway・Quentn WPとも、該当プラグインをお使いのサイトは優先的にご確認ください。また、WordPress.orgの自動セキュリティレビューのような仕組みは心強い一方、あくまで新規配布されるコードへの対策であり、既にインストール済みの脆弱なバージョンを自動で修正してくれるものではありません。プラグイン・テーマの定期的な棚卸しとアップデートは引き続き欠かせない基本対策です。Hikosachiでは今後も不審なアクセスの監視を行い、検知情報を共有してまいります。
脅威レポート（Daily） 【日次レポート】2026年9月15日の攻撃検知数：4,727件
[ 観測概要 ] : 9/15 は合計 4,727 件の攻撃を検知し、前日より 1,661 件増加（+54.2%）でした。blocked_hit を除いた検知では mail_auth_fail が 1,914 件で、全体の約 40.5% を占めています。[ 目立った攻撃元 ] : 最多は 103.182.164.133 の 52 件、推定手法は WPログイン攻撃でした。上位5IPだけで全体の約 4.7% を占めており、単発の広範囲スキャンだけでなく、少数IPからの集中アクセスにも注意が必要です。[ 運用者向けの確認ポイント ] : WordPressのログイン画面、xmlrpc.php、放置されたPHPファイル、バックアップファイルへのアクセスが増えていないかを確認してください。Hikosachi Protectorをご利用中の環境では検知IPを自動遮断していますが、管理画面の多要素認証や不要ファイルの削除も合わせて見直すと効果的です。
