Apache エラーログ解析レポート2026年4月

全エラーの 99.7% (2,253件) が AH01276（autoindex:error）です。 これは攻撃者が WordPress の標準ディレクトリ構造（wp-admin / wp-includes / wp-content）を インデックスなしで直接ブラウズ しようとしたことを示します。 アクセス対象は wp-includes (1,342件 / 59.4%)、wp-admin (582件 / 25.8%)、wp-content (326件 / 14.5%) の順に多く、プラグイン・テーマ・ライブラリのバージョン情報やファイル構成を外部から把握するための 情報収集フェーズ と判断されます。

サーバー設定（Options -Indexes）によりディレクトリリスティングは すべて遮断済み であり、現時点でファイル内容は漏洩していません。しかし攻撃者は対象ディレクトリの存在確認と WordPress バージョン推定を目的としている可能性があり、後続の脆弱性スキャンや認証試行のための踏み台となるリスクがあります。

同一 /16 サブネット (85.203.21.x / 85.203.23.x) に属する 4つの IP が、それぞれ異なる日に単独で 100件以上の集中スキャンを実施しています。 4/4・4/6・4/15・4/29 に各 100〜122 件が発生しており、約2週間ごとにローテーションしながら同一サブネット内の別 IP を使い分ける 典型的なボットネット・VPN ローテーション攻撃のパターンです。

各スキャン日は 1 IP が 1日で全スキャンを完遂しており、同一インフラが IP を切り替えながら継続的に偵察活動を行っている蓋然性が高い状態です。

6つの異なる IP が /wp-content/plugins/akismet/ ディレクトリへの直接アクセスを試み、サーバー設定により 全件遮断 (AH01630) されています。 注目すべき点は、すべてのアクセスが 深夜〜早朝 (00:14 / 02:57 / 03:14 / 03:44 / 08:54 / 09:05) に発生しており、自動化されたスキャンツールの稼働パターンと一致します。

Akismet ディレクトリを直接探索する行為は、インストール済みプラグインの列挙（プラグインフィンガープリンティング）の一環です。プラグインのバージョンが判明すれば、既知の脆弱性 (CVE) と突合することで標的型攻撃へ発展するリスクがあります。

ドイツ・オランダ系ホスティング（62.171.x.x / 31.220.x.x / 206.189.x.x / 167.86.x.x / 164.68.x.x）の 5つの IP から、HTTP リファラーに "binance.com" を偽装 したリクエストが55件送信されています。 アクセス先はいずれも wp-admin/css/ 配下で一定しており、リファラースパムによる アクセス解析ツールの汚染 を目的とした SEO スパム行為または、リファラーを信頼した場合にのみ表示されるコンテンツの探索を狙ったものと考えられます。

直接的な侵害リスクは低いものの、アクセスログを汚染することで 正常なログ分析を妨害 する副次的効果があります。また信頼されたブランド名（Binance）を利用することで、ログ監視ツールによる自動検知を回避しようとする意図も読み取れます。

IP 23.101.4.52 は 4月を通じて 17の異なる日付 に渡り断続的にアクセスを継続しています（4/1〜4/11 に毎日、その後も断続的に 4/28 まで継続）。 1回あたりのアクセス件数は極めて少なく（1〜3件/日）、レートリミットや IDS による検知を意図的に回避 する「低速スキャン (Low-and-Slow Scan)」手法の典型例です。

単発のスキャナーとは異なり、このパターンは 特定サイトを継続的に監視・偵察している持続的脅威 (APT的挙動) を示唆します。サイト構成の変化追跡や、新たな脆弱性が公開された際に即座に攻撃を開始するためのウォームアップである可能性があります。

Microsoft Azure の IP 帯域 (20.x.x.x / 4.x.x.x) から複数の IP が断続的にスキャンを実施しています。 これらは Azure 上でホストされたスキャンサービス・ボット・クラウドベースの攻撃インフラである可能性が高く、正規の Azure サービスから発信されているため 通常のジオブロッキングでは検知・遮断しにくい 特徴があります。