セキュリティアラート
wp-content/plugins/akismet/_inc/img/PRffc.php に対し、2 つの異なる IP から計 2 件のアクセスが試みられました（AH01630 で全件遮断）。PRffc.php は Web シェルに使われる典型的なランダム文字列ファイル名のパターンと一致します。AH01276（autoindex:error）です。WordPress の標準ディレクトリ（wp-admin / wp-includes / wp-content）を網羅的にスキャンする行為が月間を通じて継続しています。最も集中したのは wp-content/uploads/ (171件) です。/cve_html/（CVE データベース）に対し、ユーザー名 zerizeri で 5 回の認証失敗（AH01617）が発生しました。送信元は 122.222.16.207 で、短時間に連続試行しています。43.156.188.197 が /wp-comments-post.php に対してコメントを大量投稿し、カスタム WAF ルール（wp-security.conf id 5006001 / 5006003）が発火して 403 で遮断されました。binance.com を偽装したリクエストが 19 IP から 26 件記録されました。wp-admin/css/ 配下を標的とした組織的なリファラー偽装スキャンです。日別エラー件数推移
エラーコード分布
| エラーコード | モジュール | 件数 | 説明 |
|---|---|---|---|
| AH01276 | autoindex | 2,224 | ディレクトリインデックス提供不可（列挙スキャン） |
| AH01630 | authz_core | 9 | サーバー設定によるアクセス拒否 |
| AH01617 | auth_basic | 5 | Basic 認証失敗（パスワード不一致） |
| ModSecurity | mod_security | 2 | WAF ルールによる検知・遮断 |
アクセス上位ディレクトリ Top 10
アクセス上位クライアント IP Top 20
| # | IP アドレス | 件数 | 割合 | 備考 |
|---|
アクセス上位ディレクトリ Top 20 (詳細)
| # | ディレクトリパス | 件数 | 割合 |
|---|
セキュリティ分析
| # | 脅威タイプ | リスク | 件数 | 関与IP数 | 期間 |
|---|---|---|---|---|---|
| 1 | Web シェル(PRffc.php)アクセス試行 | CRITICAL | 2 | 2 | 6/3 |
| 2 | WordPress ディレクトリ列挙スキャン | CRITICAL | 2,224 | 192 | 月間継続 |
| 3 | Basic 認証ブルートフォース(/cve_html) | HIGH | 5 | 1 | 6/22 / 6/29 |
| 4 | コメントスパム(ModSecurity 403) | MEDIUM | 2 | 1 | 6/14 |
| 5 | スパムリファラー "binance.com" | MEDIUM | 26 | 19 | 月間断続 |
| 6 | クラウド(Azure等)発スキャナー群 | MEDIUM | 1,299 | 89 | 月間断続 |
| 7 | Akismet ディレクトリ直接アクセス(AH01630) | LOW | 9 | 8 | 月間断続 |
wp-content/plugins/akismet/_inc/img/PRffc.php に対し、2 つの異なる IP から計 2 件のアクセスが試みられました（AH01630 で全件遮断）。PRffc.php は Web シェルに使われる典型的なランダム文字列ファイル名のパターンと一致します。
5月に続き複数月にわたって同一パスが狙われている点が最重要です。攻撃者がこのファイルの存在を認識している可能性、すなわち過去にサーバーへファイルが植え付けられた恐れを示唆します。サーバー上でのファイル実在確認が最優先の対応です。
6/3 203.25.124.169 AH01630 DENIED akismet/_inc/img/PRffc.php
6/3 194.5.82.92 AH01630 DENIED akismet/_inc/img/PRffc.php
→ 複数 IP が同一パスを標的 — ファイル植え付け済みの可能性を疑う
全エラーの 99.3% (2,224件) が AH01276（autoindex:error）です。WordPress の標準ディレクトリ（wp-admin / wp-includes / wp-content）を網羅的にスキャンする行為が月間を通じて継続しています。最も集中したのは wp-content/uploads/ (171件) です。
サーバー設定（Options -Indexes）によりディレクトリリスティングは全遮断済みですが、攻撃者はディレクトリの存在確認と WordPress バージョン推定を継続しており、後続の脆弱性スキャンの踏み台となるリスクが持続します。
171件 — wp-content/uploads/
111件 — wp-admin/js/
93件 — wp-includes/assets/
69件 — wp-admin/css/
63件 — wp-includes/css/dist/
Basic 認証で保護された /cve_html/（CVE データベース）に対し、ユーザー名 zerizeri で 5 回の認証失敗（AH01617）が発生しました。送信元は 122.222.16.207 で、短時間に連続試行しています。
すべて Password Mismatch で遮断されていますが、特定ユーザー名を指定した反復試行は辞書攻撃の兆候です。該当ユーザー名の実在確認、パスワード強度の点検、および fail2ban による認証失敗回数ベースの自動ブロック導入を推奨します。
6/22 122.222.16.207 user=zerizeri /cve_html/CVE-2018-7602.html
6/29 122.222.16.207 user=zerizeri /cve_html/index.html
6/29 122.222.16.207 user=zerizeri /cve_html/index.html
6/29 122.222.16.207 user=zerizeri /cve_html/index.html
6/29 122.222.16.207 user=zerizeri /cve_html/index.html
→ 標的: /cve_html/CVE-2018-7602.html, /cve_html/index.html
43.156.188.197 が /wp-comments-post.php に対してコメントを大量投稿し、カスタム WAF ルール（wp-security.conf id 5006001 / 5006003）が発火して 403 で遮断されました。
これは WAF が正常に機能していることを示す肯定的な検知です。コメントスパムボットの典型挙動であり、当該 IP のブロックとコメント投稿レート制限の維持で十分に対処できます。
[client 43.156.188.197] ModSecurity: Warning. Operator GT matched 8 at IP:comment_counter. [file "/etc/apache2
[client 43.156.188.197] ModSecurity: Access denied with code 403 (phase 2). Operator GT matched 0 at USER:comm
HTTP リファラーに binance.com を偽装したリクエストが 19 IP から 26 件記録されました。wp-admin/css/ 配下を標的とした組織的なリファラー偽装スキャンです。
直接的な侵害リスクは低いものの、アクセスログを汚染して正常なログ分析を妨害する副次効果があります。WAF で当該リファラーを 403 拒否するルールの追加を推奨します。
20件 — binance.com
6件 — https://www.binance.com
Azure / AWS 等のクラウド IP 帯域（20.x / 4.x / 52.x 等）から 89 の IP が断続的にスキャンを実施し、合計 約 1299 件（全体の 58%）を占めています。クラウド上でホストされたスキャンサービス・ボットと考えられます。
正規クラウドサービスとして発信されるため通常のジオブロッキングでは遮断しにくく、データセンター発トラフィックに対する WAF チャレンジ設定が有効です。
48件 — 4.207.145.86
42件 — 20.226.116.19
42件 — 20.240.51.74
35件 — 20.226.3.20
34件 — 20.215.67.212
34件 — 172.213.18.15
/wp-content/plugins/akismet/ 配下への直接アクセスが 9 件試みられ、サーバー設定により全件遮断（AH01630）されました。5月（54件）から大幅減少しています。
プラグインフィンガープリンティングの一環ですが件数は少なく、既存の deny from all 設定で十分に防御できています。
2件 — 146.70.194.222
1件 — 169.150.201.132
1件 — 203.25.124.169
1件 — 194.5.82.92
1件 — 146.70.194.238
1件 — 212.32.76.10
時間帯別アクセス分析
24時間ヒートマップ — エラー件数分布（JST）
ピークは 22時台（185件）。 深夜帯（00〜04時）に 405件（18.1%）が集中しており、 自動化ツールによる夜間スキャンが常態化しています。
週別エラー件数トレンド
Week 4 が 1295件 と最多。 月内で攻撃キャンペーンの集中がみられます。
推奨対策
即時対応 緊急度の高い対策
-
☠️
PRffc.php ファイルのサーバー存在確認
find /home/*/public_html -name "PRffc.php"を即時実行。存在した場合はサイト侵害インシデントとして対応し、全プラグインディレクトリの整合性を検証。 -
🚫
194.5.82.92 / 203.25.124.169 の即時 IP ブロック
Web シェルへのアクセスを試行。fail2ban または .htaccess で永続ブロック推奨。 -
🔐
/cve_html/ の認証防御強化（送信元 122.222.16.207）
Basic 認証への辞書攻撃を検知。fail2ban で認証失敗回数ベースの自動ブロックを設定し、パスワードを長くランダムなものへ更新。 -
🔍
phpinfo.php・.bak ファイルの存在確認と削除
find /home/*/public_html \( -name "phpinfo*" -o -name "*.bak" \)で確認し、不要なファイルを削除。
中期対応 継続的な防御強化
-
🛡️
コメントスパムボットのブロック
ModSecurity で 403 遮断された 43.156.188.197 を fail2ban に登録し、コメント投稿レート制限を維持。 -
🛡️
binance.com リファラーの WAF 拒否
HTTP リファラーに binance.com を含むリクエストを 403 で拒否するルールを追加し、ログ汚染を防止。 -
🛡️
クラウド ASN 発トラフィックへのチャレンジ
Azure / AWS など データセンター ASN からのアクセスに WAF / Cloudflare のチャレンジ設定を適用。 -
📋
WordPress ファイル整合性モニタリングの導入
PRffc.php のような不審なファイル植え付けを早期検知するため、WP File Monitor 等または AIDE によるファイル変更検知を導入。 -
📈
定期的なログ監視の自動化
本ツールを月次実行し、AH01630 / AH01617 / ModSecurity 件数のトレンドと、同一 IP の多段攻撃パターンを自動追跡。