Apache エラーログ解析レポート2026年5月

wp-content/plugins/akismet/_inc/img/PRffc.php に対し、互いに異なる 3 つの IP から計 3 件のアクセスが試みられました（AH01630 により全件遮断）。 PRffc.php はウェブシェルファイルに使われる典型的なランダム文字列ファイル名のパターンと一致します。

Apache の設定でアクセスは拒否されているため、外部からの実行は防がれています。しかし注目すべき点は、3 つの異なる IP がこの同一パスを標的としていることです。 これは攻撃者がすでにこのファイルの存在を認識している—すなわち 過去のどこかの時点でサーバーにファイルが植え付けられた可能性を示唆します。 サーバーファイルシステム上での当該ファイルの有無、および関連ディレクトリの整合性確認が最優先の対応事項です。

全エラーの 95.9% (1,500件) が AH01276（autoindex:error）です。 4月 (2,253件) と比較して件数は減少しましたが、攻撃は31日間継続しており、WordPress の標準ディレクトリ構造（wp-admin / wp-includes / wp-content）を網羅的にスキャンする行為は変わっていません。 アクセスが最も集中しているのは wp-admin/css/ (100件)、wp-content/uploads/ (74件)、wp-admin/css/colors/ectoplasm/ (66件) の順です。

サーバー設定（Options -Indexes）によりディレクトリリスティングはすべて遮断済みですが、攻撃者は対象ディレクトリの存在確認と WordPress バージョン推定を継続しており、後続の脆弱性スキャンや認証試行への踏み台となるリスクが持続しています。

4月に続き、同一 /16 サブネット (85.203.21.x / 85.203.23.x) に属する 3 つの IP が異なる日時に集中スキャンを実施しています。 各スキャンは 1 IP が単独で短時間（5〜9分）に 100件超を完遂するパターンで、4月と同一の攻撃インフラが IP を切り替えながら偵察活動を継続している状況です。

特筆すべきは、85.203.21.48 (5/21 04:45) と 85.203.23.98 (5/20 21:27) がスキャン中に PRffc.php ウェブシェルへのアクセスも試みていることで、 単純なディレクトリ列挙からウェブシェル実行への移行を図ろうとした可能性があります。

5/6 17:03〜17:04 の わずか 1 分間に 51 件の多段攻撃を実行。 設定ファイルのブルートフォース（.hta/.htaccess/.htpasswd に .php/.txt/.html/.old/.bak/.zip を組み合わせた総当たり）、 パストラバーサル（/~operator//~root）、システムパス列挙（/var/spool///var/adm///bin/ 等）を組み合わせた手法は、自動化された侵入ツールの典型パターンです。

5/17 には Akismet の readme.txt にもアクセスしており、バージョン情報の収集（プラグインフィンガープリンティング）も実施しています。 全件 AH01630/AH00035 で遮断済みですが、このIPからの今後の活動には特に警戒が必要です。

前月（4月: 6件）から大幅に増加し、5月は 54件の AH01630 が記録されました。 89.117.104.21、89.117.104.38、146.70.178.252、156.146.33.74 などの複数 IP が /wp-content/plugins/akismet/ ディレクトリへのアクセスを試み、サーバー設定により全件遮断されています。

なかでも 124.37.31.134 による設定ファイルのブルートフォース（46件）が件数の大半を占めており、 Akismet ディレクトリへの単純な探索だけでなく、より積極的な認証バイパスを狙った攻撃に進化しています。 プラグインフィンガープリンティングから既知 CVE を利用した標的型攻撃へ発展するリスクがあります。

4月（5 IP / 55件）から大幅に拡大し、5月は 44 の異なる IP から 57件が記録されました。 HTTP リファラーに binance.com を偽装したリクエストが wp-admin/css/ 配下に集中しており、 5/1〜5/6 に特に集中しています。

関与 IP 数が 9 倍に増加したことは、ボットネット規模の拡大またはよりアクティブなキャンペーンへの移行を示唆します。 直接的な侵害リスクは低いものの、アクセスログを汚染することで正常なログ分析を妨害する副次的効果があります。

Microsoft Azure の IP 帯域（20.x.x.x / 4.x.x.x / 52.x.x.x）から複数の IP が断続的にスキャンを実施しています。 前月に引き続き Azure ASN (AS8075) からのトラフィックが全体の約 3 分の 1 を占めており、 Azure 上でホストされたスキャンサービス・ボット・クラウドベースの攻撃インフラと考えられます。 正規の Azure サービスとして発信されているため 通常のジオブロッキングでは検知・遮断しにくい 特徴があります。

5/9 に、4 つの IP（107.20.10.55、44.199.211.131、44.207.4.186、98.89.2.244）が URL パスに日本語文字列を URLエンコードして付加する手法でアクセスを試みました。 標的は phpinfo.php~（PHP 設定情報漏洩）および connector.bak（バックアップファイル漏洩）です。 URLエンコードによりパスが著しく長くなり AH00036 でエラーとなっていますが、これは WAF のシグネチャ検知をバイパスすることを意図した手法と考えられます。