WordPressが改ざんされると、検索結果はどうなる？【2026年】

【今すぐ確認】WordPressが改ざんされると、検索結果はどうなる？跡を5つ置いて試すと、知らない投稿はサイトマップにすぐ載った。Search Consoleの「セキュリティの問題」とGoogle公式の直す順番【2026年】

WordPress のサイトが、知らないうちに改ざんされていたら。検索結果では、何が起きるでしょうか。

私たちは、手元の WordPress に、改ざんのあとに残りやすい印を5つ、何もしない見本で置いて、どこで見つかるかを試しました。知らない投稿を1つ作ると、その直後から、WordPress が自動で作るサイトマップに載りました。

講座の【完全版】WordPressのSEO・AIO・LLMO対策、何をすればいい？の「育てる・守る」の章（10章）では、改ざんされたサイトは「ハッキングされたコンテンツ」になる、と紹介しました。この回は、改ざんされると検索結果がどうなるのかを Google の文書で確かめ、改ざんの跡がどこに残るのかを、手元で試します。

先に結論を書きます。

改ざんされると、検索結果に警告ラベルが付いたり、ブラウザに警告の画面が出たりします。 Search Console ヘルプにそう書かれています。ハッキングされたコンテンツが検索結果に含まれないよう、最善を尽くしている、ともしています
知らない投稿は、作った直後からサイトマップに載りました。 手元の WordPress 7.1.4 で、サイトマップの投稿の URL は1つから2つに。RSS にも、トップページにも出ました
改ざんの跡を5つ置くと、5つとも、ふだん見られる場所で見つかりました。 管理画面のユーザーとプラグイン、サイトマップ・RSS・トップページ、そして WordPress.org の公式の一覧（3,871 ファイル）との突き合わせです
一部だけ直しても、検索結果は変わりません。 Search Console ヘルプは「一部のページでのみ問題を解決しても、検索結果は変わりません。」と書いています。直したら審査をリクエストし、ほとんどの再審査は数日から数週間かかります
入口をふさがないと、また入られます。 Google の手引きは、ハッキングされたサイトの20%が1日以内に再びハッキングされている、という調査を紹介しています

まずは、Search Console の「セキュリティの問題」と、管理者の一覧を見てください（12章）。

1. 改ざんされると、検索結果に警告が付く

まず、Google の説明です。

ページやサイトがセキュリティの問題の影響を受けている場合、検索結果に警告ラベルが追加されたり、ユーザーがそのページにアクセスしようとすると、ブラウザでインタースティシャルな警告ページが表示されたりします。 — Search Console ヘルプ「セキュリティの問題レポート」

Search Console ヘルプの「セキュリティの問題レポート」は、こう書いています。「ページやサイトがセキュリティの問題の影響を受けている場合、検索結果に警告ラベルが追加されたり、ユーザーがそのページにアクセスしようとすると、ブラウザでインタースティシャルな警告ページが表示されたりします。」

インタースティシャルな警告ページとは、ページが開く前に割り込んで出る、警告の画面のことです。お客さんが来る前に、入口で止められてしまう、ということです。

ハッキングされたページは、検索結果に含まれないようにする

ハッキングされたコンテンツ: サイトにセキュリティ上の脆弱性があるために、ウェブマスターの許可なくサイト上に置かれたコンテンツ。Google では、ユーザーを保護するため、ハッキングされたコンテンツが検索結果に含まれないようにすべく最善を尽くしています。 — Search Console ヘルプ「セキュリティの問題レポート」の「セキュリティの問題とは」

セキュリティの問題は3つに分けられ、その1つがハッキングされたコンテンツです。Search Console ヘルプは「サイトにセキュリティ上の脆弱性があるために、ウェブマスターの許可なくサイト上に置かれたコンテンツ。」と説明しています。

そして「Google では、ユーザーを保護するため、ハッキングされたコンテンツが検索結果に含まれないようにすべく最善を尽くしています。」と書いています。改ざんで作られたページは、検索から外される対象です。

新しいページだけでも、悪影響のおそれ

ページインジェクション: …サイトの既存のページにはハッキングされた形跡が見られなくても、このように新たに作成されたページによって、サイトにアクセスしたユーザーや検索結果におけるサイトのパフォーマンスに悪影響が及ぶおそれがあります。 — Google 検索セントラル「Google ウェブ検索のスパムに関するポリシー」の「ハッキングされたコンテンツ」（最終更新 2026年9月2日）

Google 検索セントラルの「Google ウェブ検索のスパムに関するポリシー」も、ハッキングされたコンテンツを取り上げています。その例の1つが、ページインジェクション（ハッカーが新しいページを足すこと）です。

Google は「サイトの既存のページにはハッキングされた形跡が見られなくても、このように新たに作成されたページによって、サイトにアクセスしたユーザーや検索結果におけるサイトのパフォーマンスに悪影響が及ぶおそれがあります。」と書いています。いつものページが無事に見えても、知らないページが足されているだけで、検索での成績に響くおそれがある、ということです。

この記事では、改ざんされたら順位が何位下がる、とは言いません。Google の文書に、そうした数字は書かれていません。

2. 手元の WordPress に、改ざんの跡を5つ置いた

では、改ざんの跡は、どこに残るのか。手元で試しました。

試し方

サイト: 公式の zip で入れた WordPress 7.1.4（日本語版）を、手元の PHP 8.3 の簡易サーバーで動かした。テーマは初期の Twenty Twenty-Five。プラグインは3つで、どれも止めたまま。管理者は1人
置いた見本（5つ）: ①知らない管理者（ログインには使わない、長い合言葉を付けた）②知らないプラグイン（見出しだけで何もしない。止めたまま）③知らない投稿（中身は試験用の説明だけ）④本体のファイル1つの末尾に、コメントを1行足した ⑤本体のフォルダに、何もしない PHP のファイルを1つ置いた
見た場所: 管理者とプラグインの一覧は WordPress の関数で数え、管理画面も撮った。サイトマップ・RSS・トップページは、ログインしていない側（外から見に来た人と同じ側）から取った。本体のファイルは、WordPress.org が公開している公式の一覧と突き合わせた
数えた回数: 置く前・置いたあと・消したあと、の3回
片付け: 試したあと、見本は全部消し、本体のファイルも元に戻した。置く前と同じに戻ったことも確かめた

どれも何もしない見本で、本物の攻撃ではありません。攻撃の手順やコードは扱わず、守る側の確かめ方と直す手順だけを書きます。

知らない投稿は、サイトマップに載る？

ここでクイズです。改ざんで、知らない投稿が1つ作られたとします。WordPress が自動で作るサイトマップに、その投稿は載るでしょうか。

載らない
すぐ載る
1日後に載る

3. 答えは「すぐ載る」。サイトマップに自動で

手元の WordPress の、投稿の XML サイトマップの画面。XML サイトマップ内の URL の数: 2。初めからある Hello world! の URL と、試験用に作った知らない投稿の URL（最終更新日 2026-10-31T09:50:22+09:00）が並んでいる — 手元の WordPress 7.1.4（公式の zip・初期のテーマ Twenty Twenty-Five）に、何もしない見本を置いて Sorabun が撮った（2026年10月31日・shots/wp_shots.mjs）

答えは、すぐ載る、でした。

試験用の知らない投稿を1つ作ると、その直後から、投稿のサイトマップに2つ目の URL として並びました。同じ投稿は、RSS（新しい記事を知らせる配信）にも、トップページにも出ました。どれも、ログインしていない側から確かめています。

見た場所	置く前	置いたあと	消したあと
サイトマップの投稿の URL の数	1	2	1
RSS に、知らない投稿が出たか	出ない	出た	出ない
トップページに、知らない投稿が出たか	出ない	出た	出ない

WordPress は、公開された投稿を、自動でサイトマップに入れて、検索エンジンが見つけやすいようにします。ふだんは便利な仕組みですが、改ざんで作られた投稿も、同じように検索エンジンに知らせてしまいます。

ハッカーは、サイトマップで早くインデックスさせる

Google の web.dev の手引き「日本語キーワードによるハッキングを解決する」にも、サイトマップの話があります。「ハッカーは、URL をより迅速にインデックスに登録するために、サイトマップを変更したり、新しいサイトマップを追加したりすることがよくあります。」続けて「以前にサイトマップファイルがあった場合は、ファイルに不審なリンクがないか確認し、削除します。」とあります。

なお、web.dev の日本語は、Google が AI で翻訳したものです（各ページの頭に「Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。」とあります）。この記事では、その翻訳のまま引きます。

サイトマップに知らない URL が無いかは、改ざんを見つける手がかりになります。WordPress のサイトマップは、サイトのアドレスの後ろに /wp-sitemap.xml を付けると開けます。投稿のサイトマップを開き、書いた覚えのない URL が無いかを見ます。サイトマップと Search Console の確かめ方は、講座の第1回WordPressが検索に出ない原因、手元で14通り試したら7つでも試しました。

4. 5つ置いて、5つとも見つかった

改ざんの印を5つ置くと、5つとも、ふだん見る場所に出た、という表。置く前・置いたあと・消したあとの数は、知らない管理者が1・2・1、知らないプラグインが3・4・3、知らない投稿が1・2・1、本体のファイルの書き換えと、本体のフォルダの知らない PHP が0・1・0 — 手元の WordPress 7.1.4（公式の zip・初期のテーマ Twenty Twenty-Five）に、何もしない見本を置いて Sorabun が数えた（2026年10月31日・shots/hack_test.py・data/hack-test.json）

5つの結果です。

置いた印	見つかった場所	置く前	置いたあと	消したあと
知らない管理者	管理画面「ユーザー」（権限: 管理者）	1	2	1
知らないプラグイン	管理画面「プラグイン」（止めたままでも一覧に出る）	3	4	3
知らない投稿	サイトマップ・RSS・トップページ（外から見える）	1	2	1
本体のファイルの書き換え	公式の一覧（チェックサム）との突き合わせ	0	1	0
本体のフォルダに知らない PHP	公式の一覧との突き合わせ	0	1	0

5つとも、置いたあとに1つ増え、消したあとに元に戻りました（知らない投稿は、サイトマップの投稿の URL の数）。

知らない管理者は、ユーザーの一覧に出る

WordPress の管理画面「ユーザー」を、権限グループ「管理者」に絞った画面。管理者 (2 名)。初めからいる admin と、試験用に作った知らない管理者の2人が、どちらも「管理者」で並んでいる — 手元の WordPress 7.1.4（公式の zip・初期のテーマ Twenty Twenty-Five）に、何もしない見本を置いて Sorabun が撮った（2026年10月31日・shots/wp_shots.mjs）

1つ目は、知らない管理者です。管理画面の「ユーザー」で、一覧の上の「管理者」を押して絞ると、1人のはずの管理者が2人になっていました。作った覚えのない管理者がいないかは、ここで見られます。

Google の手引き「サイトを隔離する」も、直すときに「サイトのユーザーアカウントのリストを表示して、ハッカーが新しいユーザーアカウントを作成したかどうかを確認します。」としています。

止めたままのプラグインも、一覧に出る

WordPress の管理画面「プラグイン」。すべて (4)・停止中 (4)。一覧の中に、試験用に作った知らないプラグイン（説明: 試験用の見本（何もしない））が、有効化と削除のリンクとともに並んでいる。間のほかの3行は省いた — 手元の WordPress 7.1.4（公式の zip・初期のテーマ Twenty Twenty-Five）に、何もしない見本を置いて Sorabun が撮った（2026年10月31日・見出しと知らないプラグインの行をつなげた・shots/wp_shots.mjs）

2つ目は、知らないプラグインです。有効にしていない、止めたままのプラグインも、一覧には出ます。数は「すべて」で4つ、「停止中」も4つになりました。

止めてあっても、ファイルはサーバーに残っています。Google の手引き「スパマーがサイトのハッキングでよく利用する手段」も「プラグインを削除する場合は、無効にするだけでなく、サーバーからすべてのファイルを削除してください。」と書いています。入れた覚えのないものは、名前を控えて確かめます。

Google が挙げる、攻撃の兆候4つ

ウェブサイトが攻撃を受けている一般的な兆候には、次のようなものがあります。特に無関係な検索語句からの異常なトラフィック急増。訪問者からマルウェアが報告された。管理者権限で新しく作成されたアカウント。不審な新しいページがサイトに追加されました。 — web.dev「ハッキングされたサイトに関するよくある質問」（Google。日本語は Google が AI で翻訳したもの）

web.dev「ハッキングされたサイトに関するよくある質問」は、「ウェブサイトが攻撃を受けている一般的な兆候には、次のようなものがあります。」として、4つを挙げています。

Google が挙げる兆候	手元で置いた見本
特に無関係な検索語句からの異常なトラフィック急増	（試していない）
訪問者からマルウェアが報告された	（試していない）
管理者権限で新しく作成されたアカウント	知らない管理者
不審な新しいページがサイトに追加されました	知らない投稿

手元で置いた印のうち、2つはここに入っています。WordPress.org の「FAQ My site was hacked」も、ハッキングのはっきりした印の1つに「Notice behavior that was not authorized (i.e., creation of new users, etc…)」を挙げています。許可していない動き、たとえば新しいユーザーが作られている、ということです。

5. 本体のファイルは、公式の一覧と照らす

3つ目と4つ目は、本体のファイルです。こちらは、管理画面を見ても分かりません。

WordPress.org は、版ごとに、本体のファイルの正しい一覧（チェックサム）を公開しています。チェックサムは、ファイルの中身から計算した値で、1文字でも書き換わると値が変わります。手元の 7.1.4（日本語版）の一覧には、3,871 ファイルが並んでいました。

この一覧と、サーバーの中のファイルを1つずつ照らしました。テーマ・プラグイン・画像を置くフォルダの中と、サイトが消すこともある説明書きのファイルは、正当に変わることがあるので除きました。本体のフォルダに、一覧に無い PHP のファイルが無いかも見ました。

突き合わせ	置く前	置いたあと	消したあと
中身が書き換わっていた本体のファイル	0	1	0
本体のフォルダにあった、一覧に無い PHP	0	1	0
一覧にあるのに見当たらないファイル	0	0	0

コメントを1行足しただけの書き換えも、置いた覚えのないファイルも、1つずつ見つかりました。見本を消すと、差は0に戻りました。

Google の手引きも、同じ考え方を書いています。「CMS を使用していて、PHP ファイルを直接編集する習慣がない場合は、サーバー上のファイルを、CMS、プラグイン、テーマにパッケージ化されているデフォルトファイルのリストと比較します。」

ただし、この突き合わせには、サーバーのファイルを読める道具が要ります。Sorabun で毎日照らす方法は、12章で紹介します。

6. 跡が見つかった場所は、3つ

まとめると、改ざんの跡が見つかった場所は3つでした。

場所	見つかった跡	見るのに要るもの
管理画面	知らない管理者（ユーザー）・知らないプラグイン（プラグイン）	管理者でのログイン
外から	知らない投稿（サイトマップ・RSS・トップページ）	ブラウザだけ
本体のファイル	書き換え・知らない PHP（公式の一覧との突き合わせ）	サーバーのファイルを読める道具

逆に言えば、1か所だけ見ても、ほかの跡は分かりません。サイトマップに知らない管理者は出ませんし、本体のファイルの突き合わせで知らない投稿は見つかりません。

7. 開いても見えない改ざんもある

ただし、見えない改ざんもあります。手元では試していませんが、Google の手引きが書いています。

web.dev「サイトがハッキングされているかどうかを確認する方法」は、Search Console で示された URL を開いても何も無いときは、クローキングという手法の可能性がある、としています。クローキングは、見る人によって違う中身を見せる手口です。手引きは「クローキングは、ユーザーの種類に応じて異なるコンテンツを表示するため、サイトのクリーンアップをより困難にします。」と書いています。自分でページを開いても、何も無いように見えることがある、ということです。

Google が見た中身は、URL 検査ツールで

そのときは、Search Console の URL 検査ツールで、Google が見た中身を確かめます。日本語キーワードによるハッキングの手引きは「クローキングを確認するには、URL 検査ツールにサイトの URL を入力します。」「このツールを使用すると、基盤となる隠しコンテンツを確認できます。」と書いています。

Search Console ヘルプも「ブラウザを使って、サイトの感染したページを直接表示することはおやめください。」として、代わりに URL 検査ツールで Google が認識しているページを見る方法を挙げています。

site: 検索で、知らないページを探す

もう1つは、Google で「site:」に続けて自分のサイトのアドレスを入れて、検索することです。手引きは「これにより、ハッキングされたページを含め、Google がサイトでインデックスに登録したページが表示されます。」「検索結果のページをいくつかめくって、不審な URL がないかどうかを確認します。」と書いています。

出るのは、Google がインデックスに登録したページです。作られたばかりのページは、まだ出ないことがあるので、サイトマップとあわせて見ます。

8. Search Console に、知らない所有者が増えたら

知らないユーザーが Google Search Console でサイトの所有権を確認したという通知を受け取った場合は、サイトがハッキングされている可能性が非常に高いと考えられます。 — web.dev「日本語キーワードによるハッキングを解決する」（Google。日本語は Google が AI で翻訳したもの）

跡は、サイトの中だけとは限りません。日本語キーワードによるハッキングの手引きは、ハッカーが Search Console に自分を所有者として足し、サイトマップなどの設定を操作することがある、と書いています。そして「知らないユーザーが Google Search Console でサイトの所有権を確認したという通知を受け取った場合は、サイトがハッキングされている可能性が非常に高いと考えられます。」としています。

見つけたときは、こうします。

ユーザーと所有者を見る。 web.dev「Search Console の利用」は「表示されるすべてのユーザーとオーナーが承認されていることを確認します。」としています
知らない所有者は、すぐ外す。 手引きは、できるだけ早くアクセス権を取り消すように、としています。そのとき「関連付けられている確認トークンを削除する必要があります。」。確認トークンは、所有者であることを確かめるためにサイトに置かれる印です
設定が変えられていないかを見る。 「Search Console で、意図しない設定変更がないか確認します。」

この知らせは、Search Console にサイトを登録していないと受け取れません。まだの人は、まず登録します。

9. 直す順番は、Google の手引きの6つ

では、改ざんされていたら、どう直すのか。web.dev には、「ハッキングされたようです」から始まる手引きが、順番に並んでいます。

助けてくれる人を決める（手引きの題は「サポートチームの構築」）
サイトを止めて隔離する（「サイトを隔離する」）
Search Console で、どこが問題かを確かめる（「Search Console の利用」）
入口（脆弱性）を探す（「脆弱性の特定」）
本体やプラグインを入れ直して、きれいにする（「サイトの問題の修正と管理」）
審査をリクエストする（「審査を申請する」）

手引きでは、3と4のあいだに「ウェブスパムによる被害の程度の確認」（壊されたファイルの一覧を作る段）も入り、「これは、復旧プロセスにおける最も長いステップの 1 つです。」とされています。

①②助けを呼び、サイトを止める

Search Console ヘルプは、マルウェアの問題を直すには「コードの読解力」やウェブサーバーの知識が要ることがあるとして、負担なら手伝える人を探すように、としています。一人で抱えず、サーバー会社や詳しい人に、早めに声をかけます。

次に「サイトをオフラインにして、ユーザーにコンテンツが配信されないようにします。」。止め方が分からなければ、サーバー会社（ホスティング業者）に相談します。止めると検索に響くのでは、という心配には、こう書いています。「復旧プロセス中にサイトを断続的または一時的にオフラインにしても、その後の検索結果でのサイトのランキングに影響することはほとんどありません。」

あわせて「サイトのすべてのユーザーとアカウントのパスワードを変更します。」。サーバーやデータベースのログインも含みます。

③④問題と入口を確かめる

8章のとおり Search Console を確かめ、「セキュリティの問題」のレポートで、どんな問題が出ているかを見ます。そして、どこから入られたのかを探します。「脆弱性の特定」の手引きは「複数の独立したハッキングが行われている可能性があるため、1 つの脆弱性を見つけて修正できた場合でも、他の脆弱性の検索を続けることをおすすめします。」と書いています。日本語キーワードによるハッキングの手引きも「多くのサイトは、古いソフトウェアを実行しているためにハッキングされます。」としています。

⑤入れ直して、きれいにする

作業の前に、サイト全体のバックアップを取ります。そのうえで「CMS を使用している場合は、CMS のデフォルトディストリビューションに含まれるすべてのコア（デフォルト）ファイルと、追加したファイル（テーマ、モジュール、プラグインなど）を再インストールします。」

WordPress.org の「FAQ My site was hacked」も、きれいにしたあとに「Once you are clean, you should update your WordPress installation to the latest software.」（きれいになったら、WordPress を最新の版に更新する）と書いています。パスワードも、きれいになったのを確かめてから、もう一度変えるように、としています。

最後の⑥審査のリクエストは、次の2つの章で見ます。

10. 一部だけ直しても、検索結果は変わらない

4. サイト全体で問題を修正します。一部のページでのみ問題を解決しても、検索結果は変わりません。 — Search Console ヘルプ「セキュリティの問題レポート」の「問題を修正する」

直すときに大事なのは、サイト全体を直すことです。Search Console ヘルプは「サイト全体で問題を修正します。一部のページでのみ問題を解決しても、検索結果は変わりません。」と書いています。

レポートに出る URL は、例にすぎません。「この一覧は網羅的なものではなく、選択した問題の影響を受けているサイト上のページのサンプルのみが表示されます。」

手元の試しでも、跡は5か所に分かれていました。サイトマップで見つけた知らない投稿だけを消しても、知らない管理者と知らないプラグイン、本体のファイルの書き換えは残ります。見つけたページだけを消して終わりにせず、6章の3か所を全体で確かめます。

11. 審査は数日〜数週間。入口をふさいでから

ほとんどの再審査は、数日から数週間かかりますが、…問題を修正していない時点で再審査リクエストを送信すると、次のリクエストの結果連絡までの時間が長くなったり、違反を繰り返すサイトとしてマークされたりする可能性があります。 — Search Console ヘルプ「セキュリティの問題レポート」の「再審査にかかる期間」

直したら、セキュリティの問題レポートで、審査をリクエストします。

Search Console ヘルプは「ほとんどの再審査は、数日から数週間かかりますが、リンク関連の再審査リクエストなどの一部のケースでは、リクエストの審査に通常よりも時間がかかる場合もあります。」と書いています。

そして、直す前に送らないように、とも書いています。「問題を修正していない時点で再審査リクエストを送信すると、次のリクエストの結果連絡までの時間が長くなったり、違反を繰り返すサイトとしてマークされたりする可能性があります。」

リクエストには、直した内容を書きます。ヘルプが挙げる点は3つです。

「サイトの品質に関する問題を正確に説明する。」
「問題を修正するために行った手順を記述する。」
「取り組みの結果を記述する。」

直しながら、やったことを書き留めておくと、ここで困りません。

入口が開いたままなら、また入られる

もう1つ。日本語キーワードによるハッキングの手引きは「最近の調査によると、ハッキングされたサイトの 20% が 1 日以内に再びハッキングされています。」と紹介し、「サイトがどのようにハッキングされたかを正しく把握することが大切です。」と続けています。入口をふさがないまま、きれいにしても、また入られます。

手引きが挙げる対策は、パスワードを変えること、2段階認証、そして更新です。入口をふさぐ基本の対策は、WordPressの保守・セキュリティ対策を徹底解説にまとめています。

12. 今日やること（5つ）

Search Console に登録して、「セキュリティの問題」を見る。 問題が無ければ「サイト上にセキュリティの問題がない場合は、緑色のチェックマークと適切なメッセージが表示されます。」。ユーザーと所有者に、知らない人がいないかも見ます
管理者の一覧に、知らない人がいないか見る。 管理画面の「ユーザー」で「管理者」に絞ります
プラグインの一覧を、止めたものまで見る。 「すべて」で並ぶ数と中身を見ます。使っていないものは、止めるだけでなく消します
サイトマップに、知らない URL がないか見る。 サイトのアドレスの後ろに /wp-sitemap.xml を付けて開き、投稿のサイトマップを見ます。Google の site: 検索もします
本体とプラグインを更新し、ログインを2段階認証にする。 入口をふさぎます。パスワードの使い回しもやめます

本体の小さな更新が、何もしなくても自動で当たるかは、WordPress 7.1.4で脆弱性22件を修正。自動で更新された？で手元で試しました。

サイトマップがあるかは、URL を入れるだけの無料のサイト診断（45項目）でも確かめられます。中に知らない URL が無いかは、この記事の手順で、自分の目で見てください。入れているプラグイン・テーマに既知の脆弱性が無いかは、無料のセキュリティ診断で確かめられます。

Sorabun で見張るなら

Sorabun の「セキュリティ / 高速化」では、WordPress 本体のファイルを、毎日1回、WordPress.org の公式の一覧と照らします。この記事の試しと同じやり方で、テーマ・プラグイン・画像を置くフォルダの中と、説明書きのファイルは除きます。書き換わったファイル、見当たらないファイル、本体のフォルダにある一覧に無い PHP が見つかると、管理画面の上に知らせを出し、通知でも知らせます。通知は、Sorabun の通知の設定（メール・Slack・Chatwork）の送り先へ、設定が無ければ管理者のメールアドレスへ届きます。

入れているプラグイン・テーマ（止めているものも）と本体も、毎日、既知の脆弱性の一覧（Wordfence Intelligence）と照らします。ライセンスを認証したサイトで動き、入っている版は送らずに、サイトの中で比べます。深刻度が「緊急」「重大」のものと、修正版がまだ無いものは、管理画面と通知で知らせます。それ以外は、Sorabun のセキュリティの画面に並びます。

ただし、本体のファイルの突き合わせでは、知らない管理者や知らない投稿は見つかりません。ユーザーとサイトマップは、今日やることのとおり、自分の目でも見てください。

よくある質問

改ざんされると、検索の順位はどれくらい下がりますか？

何位下がる、という数字は、Google の文書にありません。書かれているのは、警告ラベルや警告ページが出ること、ハッキングされたコンテンツが検索結果に含まれないよう最善を尽くしていること、新しく作られたページだけでも悪影響のおそれがあること、です。

自分のブラウザで開いても、警告は出ません。大丈夫ですか？

それだけでは、大丈夫とは言えません。よくある質問の手引きは「サイト所有者は、ブラウジングでは警告を再現できない場合があります。」と書いています。Search Console ヘルプも「ただし、信頼できる情報源として [セキュリティの問題] レポートを使用し、サイトにセキュリティの問題があるかどうか、またはセキュリティの問題が修正されているかどうかを確認する必要があります。」としています。

robots.txt で検索エンジンを止めれば、直すあいだ隠せますか？

足りません。手引きは「robots.txt disallow を使用すると、検索エンジンのクローラしかブロックされないため、やはり不十分です。」「通常のユーザーは、引き続き有害なコンテンツにアクセスできます。」と書いています。見に来る人を守るには、サイトそのものを止めます。

Search Console の「手動による対策」とは、違うものですか？

別のレポートです。Search Console ヘルプは「[セキュリティの問題] レポートに一覧表示されるのは、サイトがハッキングされている場合や、サイトでの操作によって訪問者やそのパソコンに危害が及ぶおそれがある場合に報告される問題です。」と説明しています。手動による対策は、Google の担当者がスパムに関するポリシーに沿っていないと判断したときのもので、「手動による対策のほとんどは、検索インデックスの操作への対処です。」とされています。どちらも Search Console で見られます。

まとめ

改ざんされると、検索結果に警告ラベルが付いたり、ブラウザに警告ページが出たりする。Google は、ハッキングされたコンテンツが検索結果に含まれないよう最善を尽くしている
知らない投稿は、作った直後からサイトマップに載った。RSS にも、トップページにも出た
跡は、ユーザー・プラグイン・サイトマップ・本体のファイルに残った。1か所だけでは、ほかの跡は分からない
一部だけ直しても、検索結果は変わらない。サイト全体を直す
審査は、ほとんどが数日〜数週間。直して、入口をふさいでから申し込む

出典（2026年10月31日に確認）

試した結果は、2026年10月31日（日本時間）に、手元の WordPress 7.1.4（公式の zip・日本語版・初期のテーマ Twenty Twenty-Five）で、私たちが試したものです（コンテンツ/hacked-seo-2026/shots/hack_test.py・hack_state.php・wp_shots.mjs、結果は shots/data/hack-test.json）。置いた見本は何もしないもので、本物の攻撃ではありません。試したあと、すべて消して元に戻しました。web.dev の日本語は、Google が AI で翻訳したものです（各ページの頭にそう書かれています）。Search Console ヘルプのページにも、AI 技術で翻訳された内容が含まれている場合がある、と書かれています。

Search Console ヘルプ「セキュリティの問題レポート」 https://support.google.com/webmasters/answer/9044101?hl=ja
Search Console ヘルプ「[手動による対策] レポート」 https://support.google.com/webmasters/answer/9044175?hl=ja
Google 検索セントラル「Google ウェブ検索のスパムに関するポリシー」（最終更新 2026年9月2日） https://developers.google.com/search/docs/essentials/spam-policies?hl=ja
web.dev「ハッキングされたようです」 https://web.dev/articles/hacked?hl=ja
web.dev「サイトがハッキングされているかどうかを確認する方法」 https://web.dev/articles/how-do-i-know-if-my-site-was-hacked?hl=ja
web.dev「ハッキングされたサイトに関するよくある質問」 https://web.dev/articles/faq-for-hacked-sites?hl=ja
web.dev「日本語キーワードによるハッキングを解決する」 https://web.dev/articles/fix-the-japanese-keyword-hack?hl=ja
web.dev「サイトを隔離する」 https://web.dev/articles/quarantine-your-site?hl=ja
web.dev「Search Console の利用」 https://web.dev/articles/use-search-console?hl=ja
web.dev「ウェブスパムによる被害の程度の確認」 https://web.dev/articles/assess-spam-damage?hl=ja
web.dev「脆弱性の特定」 https://web.dev/articles/identify-the-vulnerability?hl=ja
web.dev「サイトの問題の修正と管理」 https://web.dev/articles/clean-and-maintain-your-site?hl=ja
web.dev「審査を申請する」 https://web.dev/articles/request-a-review?hl=ja
web.dev「スパマーがサイトのハッキングでよく利用する手段」 https://web.dev/articles/top-ways-sites-get-hacked-by-spammers?hl=ja
WordPress.org「FAQ My site was hacked」（英語・最終更新 2026年7月26日） https://wordpress.org/documentation/article/faq-my-site-was-hacked/

サイトマップがあるか、無料で確かめる

URLを入れるだけの無料のサイト診断で、検索エンジン向けの31項目とAI検索向けの14項目（45項目）を確かめられます。サイトマップがあるかも、その1つです（中に知らないURLが無いかは、記事の手順で見てください）。Sorabunなら、WordPress本体のファイルを毎日、公式の一覧と照らし、入れているプラグイン・テーマを既知の脆弱性の一覧と照らして、本体のファイルの書き換えや急ぐ脆弱性を見つけたら、管理画面と通知（メールなど）で知らせます。

無料のサイト診断（45項目） WordPress の SEO・AI 検索の教科書（無料） 3記事まで無料で試す（クラウド版）