診断対応
Express / NestJS と
10月21日に出た Node.js のセキュリティリリースと、10月22日に公表された body-parser・multer の脆弱性、8月28日に公表された multer の脆弱性です。Express で動いているとみられるサイトに、更新を確かめるよう促します。
推測で
DETECT
FILE — 010NEW DETECTIONS
WP-RESCUE // News · 新しく診断できるリスク
公表された
新しく
Photo: Rob Wingate / Unsplash
Live coverage
数字は
- Vulnerabilities matched照合できる
脆弱性 Wordfence Intelligence が公開している WordPress のプラグインとテーマの脆弱性のうち、版で照合できる 41,999 件と、独自に追加した診断ルール 10 件を合わせた数です（2026.10.24 時点）。
- Advisories checked毎日
確かめている 公表情報 2026.10.24 の収集で取得し、診断ルールと照らし合わせた公表情報の数です。内訳は米国 CISA の KEV（攻撃が確認された脆弱性の一覧）1,756 件と、開発元の公式告知 86 件です。
- Disclosure to detection公表から
診断に 反映するまで PHP php2shell は公表（2026.10.21 21:59）から 2 時間 7 分後（2026.10.22 00:06）に、本番の無料診断で調べられるようになりました。公表と反映の時刻を一次情報で確かめられた 1 件のうち、いちばん短いものです。時刻は日本時間です。
Total detections / last update 2026.10.23
診断に
- critical
- 6
- warning
- 7
- info
- 0
- 診断対応
- 13
- 機能追加
- 22
- サービス開始
- 1
How we check
- 版で
判定 - レスポンスヘッダや読み込まれるファイルに版が出ているときに、修正版より前かどうかを判定します。版が隠されているサイトでは判定できません。
- 推測で
注意喚起 - 外からは版が見えないため、そのソフトウェアで作られたとみられるサイトに、当たっていないか調べるよう促します。
- 証明書で
判定 - サイトの SSL 証明書の発行元と公開鍵を、公表された情報と照らし合わせます。
- ヘッダと
DNS で 判定 - レスポンスヘッダと公開 DNS の記録から判定します。
- 応答で
判定 - ページやファイルへのふつうのアクセスに返ってくる応答（ステータス・ヘッダ・HTML）から判定します。攻撃にあたる送信やログインの試行はしません。
どの調べ方も外から見える範囲の診断で、当たっているかどうかを確定するものではありません。
CRITICAL・WARNING・INFO は診断結果で出す所見の重さ（いちばん重い場合）です。脆弱性そのものの深刻度とは限りません。
カードの日付は、脆弱性なら開発元や研究者が公表した日（公表日）です。発見された日はふつう公表されないため、告知が出た日を載せています。機能の追加には診断やサービスに加えた日（追加日）を、サービスの開始には始めた日（開始日）を載せています。
Added
加えた
15 ITEMS
Express / NestJS と
注意喚起 診断対応
Laravel の
認証回避 （TokenGuard） 10月19日に公表された、別の利用者としてログインされるおそれがある脆弱性です。Laravel で作られたとみられるサイトに、当たっていないか調べるよう促します。
推測で
注意喚起 診断対応
UpdraftCentral の
鍵流出に よる 裏口の 設置 10月18〜19日に、流出した接続鍵で裏口のプラグインを入れられる被害が報告されました。UpdraftPlus を使っているとみられるサイトに、UpdraftCentral に接続していた場合は侵害を前提に調べるよう促します。
推測で
注意喚起 診断対応
eMudhra の
中間認証局の 侵害 10月18日に公表された、中間認証局の秘密鍵の漏えいです。SSL 証明書の発行元と公開鍵を照らし合わせ、影響を受ける証明書なら取り直しを促します。
証明書で
判定 診断対応
Drupal コアの
リモートコード実行 10月14日公表の SA-CORE-2026-014 です。Drupal で作られたとみられるサイトに注意を促し、修正版が出ない Drupal 8 / 9 とわかれば重大な所見として知らせます。
推測で
注意喚起 診断対応
nginx の
脆弱性 （10月14日公表） CVE-2026-15176 など5件です。レスポンスヘッダの版で判定します。影響は設定によって変わるため、調べるべき設定も案内します。
版で
判定 診断対応
Next.js の
リモートコード 実行・サービス 停止 10月14日に公表された脆弱性です。外からは版が見えないため、Next.js で作られたとみられるサイトに、当たっていないか調べるよう促します。
推測で
注意喚起 診断対応
Bricksforge の
サイト乗っ取り 悪用が確認されている WordPress プラグインの脆弱性（CVE-2026-85097、CVSS 10.0）です。プラグインの版で判定し、3.1.8.9 以前なら至急の更新を促します。版が見えないときも確認を促します。
版で
判定 診断対応
Apache HTTP Server 2.4.69 で
修正された 20 件 10月1日公開の 2.4.69 で修正された20件（深刻度「中」5件・「低」15件）です。版で判定し、影響を受ける mod_dav・mod_http2 などのモジュールも示します。
版で
判定 診断対応
OpenSSL の
脆弱性 （9月29日公表） 深刻度「高」の CVE-2026-84782 など2件です。版で判定します。CVE-2026-84782 は DTLS の不具合なので、DTLS を使うサービスを動かしていないかの確かめ方も案内します。
版で
判定 診断対応
攻撃が
始まっている WordPress 本体の 脆弱性 ログインなしでサーバ上の PHP ファイルを読み込ませられる脆弱性（CVE-2026-87902）です。9月22日に修正され、9月25日には米国 CISA が実際の攻撃を確認しました。WordPress 本体の版で判定し、影響範囲なら至急の更新と、テーマとサーバの設定の調べ方を案内します。
版で
判定 機能追加
cPanel / Plesk を
判定し、 PHP の 更新手順を 案内 レスポンスヘッダと公開 DNS からサーバ管理パネルを判定し、php2shell などの PHP の所見に、パネルごとの更新手順を添えます。
ヘッダと
DNS で 判定 機能追加
WordPress 以外の
サイトの 侵害調査・復旧も 受付 Next.js・Laravel など WordPress 以外で作られたサイトの侵害調査・復旧の相談を受け付けます。対応できる範囲とお見積もりは、サイトの構成をうかがってからお伝えします。
機能追加
公表された
脆弱性を 毎日 収集 開発元の公式の告知と CISA KEV などを毎日読み、診断に加える候補を作ります。診断に入れるのは、出典と影響範囲を人が確かめてからです。
機能追加
点数の
そばに 「外部診断の 範囲」を 明示 安全度スコアのすぐ下に、外から見える範囲だけの採点であることを示します。点数が高くても、サーバの中のファイルやデータベースまでは調べていないことを伝えます。
Added
加えた
01 ITEMS
機能追加
共有リンクの
プレビューを 結果 ごとに 作成 結果の URL を SNS やチャットに貼ると、対象サイトの画面と安全度スコア・所見の件数を載せたプレビューが出ます。個々の脆弱性の名前と WHOIS の担当者情報は載せません。
Added
加えた
01 ITEMS
診断対応
PHP 本体の
緊急脆弱性 「php2shell」 10月21日に公表された、ログインなしで任意のコードを実行される脆弱性（CVE-2026-109618 / CVE-2026-109619）です。レスポンスヘッダに出る PHP の版で判定し、LiteSpeed のサーバには lsphp の更新方法も案内します。
版で
判定
Added
加えた
02 ITEMS
機能追加
WordPress 以外の
サイトも 結果まで 表示 WordPress で作られていないサイトでも「対象外」で止めず、サーバや設定の診断結果を表示するようにしました。
機能追加
URL の
直打ちで 診断を 開始 wp-rescue.watrix.co.jp/ のあとに調べたいドメインを付けて開くと、そのサイトの診断の画面になります。同意のボタンを押すと始まり、結果には対象サイトを開いたときの画面のスクリーンショットも載せます。
Added
加えた
07 ITEMS
機能追加
プラグインの
脆弱性を Wordfence で 照会 検出したプラグインの版を、毎日取り込む Wordfence Intelligence の脆弱性データと照らし合わせます。版が分からないプラグインは照会しません。
版で
判定 機能追加
既知の
脆弱性を NVD に 照会 検出したサーバソフト・WordPress 本体・jQuery の版を米国 NIST の脆弱性データベース NVD に照会し、件数と主な CVE を示します。米国 CISA が悪用を確認した脆弱性（KEV）に当たれば、所見を重くします。
版で
判定 機能追加
証明書の
期限・TLS 1.3・混在 コンテンツを 確認 SSL 証明書の期限切れと残りの日数、TLS 1.3 への対応、HTTPS のページに混じる HTTP の読み込みを調べます。
証明書で
判定 機能追加
保守の
終わった サーバソフトを 判定 レスポンスヘッダに出る PHP・Apache・nginx などの版から、開発元の保守が終わった系列かを判定します。ディストリビューションが保守している版は警告にとどめます。
版で
判定 機能追加
古い
CGI の 読み込みを 検出 ページが同じサイトの .cgi・.pl・/cgi-bin/ を読み込んでいれば警告し、リンクだけなら参考情報にします。CGI そのものにはアクセスしません。
応答で
判定 機能追加
なりすましメール
対策の SPF と DMARC を 確認 ドメインの公開 DNS から、なりすましメールを防ぐ SPF と DMARC が設定されているかを調べます。
ヘッダと
DNS で 判定 機能追加
安全度
スコアの 計算を 刷新し、 結果を タブで 整理 重い所見があると点数に上限がかかる計算に改め、上限の理由を画面に出すようにしました。結果は総合・サーバ・WordPress・技術情報のタブに分けて見られます。
Added
加えた
01 ITEMS
診断対応
WordPress 本体の
攻撃の 連鎖 「wp2shell」 7月17日の 7.0.2 で修正された、ログインなしでコードを実行される攻撃の連鎖（CVE-2026-63030 / CVE-2026-60137）です。WordPress 本体の版で判定し、影響範囲なら「緊急対応必須」の警報を出します。
版で
判定
Added
加えた
02 ITEMS
機能追加
DNS・TLS・ホスティングの
技術情報を 追加 診断結果に、DNS・TLS・HTTP の設定、WHOIS、IP アドレスの所在地、ホスティングと CDN の推定、使われている技術の判定をまとめた技術情報を加えました。
ヘッダと
DNS で 判定 機能追加
ケースファイル 003・004 を
公開 003 は、駆除済みのサイトに残っていたバックドアをセカンドオピニオンの調査で見つけた記録です。004 は、不正な実行ファイルが 300 個以上見つかった事例で、復旧の作業そのものの落とし穴も書いています。
Added
加えた
04 ITEMS
機能追加
ログイン名の
露出を 「重大」に 引き上げ ?author=1 や REST API のユーザー一覧からログイン名が見えるサイトは、警告から重大な所見に引き上げました。ログイン名が分かると、パスワードを総当たりで試す攻撃の足がかりになります。
応答で
判定 機能追加
結果を
「安全度 スコア」で 表示 診断結果を、高いほど安全な 0〜100 点の安全度スコアで示すようにしました。
機能追加
診断結果に
専用の URL を 発行 診断が終わると結果を保存し、専用のページで開くようにしました。URL を送れば、同じ結果をほかの人とも見られます。
機能追加
ケースファイル 002 を
公開 海賊版のプラグインに約2年潜んでいたバックドアの記録です。社名や業種を伏せ、発見から復旧までをまとめました。
Added
加えた
02 ITEMS
機能追加
URL 1 行で
調べる 無料診断を 開始 サイトの URL を入れると、外から見える範囲をその場で調べます。SSL/TLS、セキュリティヘッダ、設定ファイルやバックアップの露出、ログイン名の露出、XML-RPC、ディレクトリの一覧表示を応答で判定し、WordPress の版は最新版と比べます。
応答で
判定 機能追加
使っている
プラグインと テーマを 外から 検出 ページの HTML から、使われているプラグインとテーマを読み取って一覧にします。主なプラグインには、リスクの観点からの注記を添えます。
応答で
判定
Added
加えた
01 ITEMS
サービス開始
WP-AIレスキューの
サービスを 開始 WordPress の乗っ取り・改ざんから緊急に復旧させるサービスとして、サイトを公開しました。料金・サービス内容・ケースファイルのページと、無料診断の申し込みの窓口をそろえて始めました。
