2026年10月19日、攻撃者がAIペネトレーションテスト基盤Cairnで構築したサーバーの作業ディレクトリが認証なしで公開されていたと報告されました。攻撃の自動化が進む今、自社サイトの公開ファイル・ログイン保護・更新状況を今日確認しましょう。
2026年10月19日、セキュリティ企業のVULONEが、オープンソースのAIペネトレーションテスト基盤「Cairn」で構築された攻撃者のサーバーが、作業用ディレクトリを認証もIP制限もなしに公開していたと報告しました。そこにはアジアを含む政府機関や企業への攻撃記録が残っていたとされています。攻撃する側までAIで作業を自動化している以上、中小企業のWordPressサイトも「狙う価値がないから安全」とは言えなくなっています。
何が公開されていたのですか？
VULONEの報告によると、攻撃者が使っていたサーバーは、作業用の/tmpディレクトリをHTTPのポート9000で、認証もIP制限もなしに公開していました。公開が始まったのは2026年9月29日22時13分（UTC）で、10月15日まで続き、同じ内容は運用者が管理する第2のアドレスでも配信されていたとされています。
基盤に使われていたのは、オープンソースのAIペネトレーションテスト基盤「Cairn」です。本来は防御側が自社の弱点を調べるための道具ですが、同じ仕組みが攻撃側でも使われ、アジアをはじめとする地域の政府機関や企業への攻撃記録が残っていたと報告されています。
中小企業のWordPressサイトに関係がありますか？
関係があります。これまで攻撃者が手作業で行っていた「どのサイトが古いか」「どのプラグインが入っているか」の調査が、AIエージェントで自動化されると、標的を選ぶコストがほぼゼロに近づきます。その結果、知名度の低い店舗サイトや数年更新していない企業サイトも、無差別スキャンの対象に入る可能性があります。
今回の報告は特定のWordPress脆弱性を指すものではありません。ただし、自動化された調査が最初に拾うのは、古いバージョン・放置プラグイン・公開ディレクトリに置きっぱなしのファイルといった、人手でも見つかる分かりやすい穴です。そこを塞ぐことが、そのまま自動攻撃への対策になります。
公開してはいけないファイルを置いていませんか？
皮肉なことに、今回つまずいたのは攻撃者側の「作業ファイルの公開放置」でした。同じことは自社サーバーでも起こります。ブラウザのアドレス欄に自社ドメインを入れて、次の3つを確認してください。
- バックアップのzip・SQLファイル：「https://自社ドメイン/backup.zip」「/wp-content/backups/」などを開いてダウンロードが始まらないか
- 設定・調査用ファイル：info.php、phpinfo.php、.env、wp-config.php.bak などの置き忘れ
- ディレクトリ一覧表示：「/wp-content/uploads/」を開いてファイル名の一覧が出てしまわないか
一覧が表示される、またはファイルが開ける場合は、その時点で誰でも中身を取得できる状態です。サーバーのファイルマネージャーかFTPで該当ファイルを削除し、保守会社に一覧表示の停止を依頼してください。
自動化された攻撃に効く守りは何ですか？
特別な製品より、基本の積み重ねが効きます。WordPress本体・プラグイン・テーマを最新に保つ、管理者アカウントに二要素認証を設定する、ログイン試行回数を制限するの3点で、自動スキャンが拾う穴の大半は塞がります。
あわせて、侵入された場合に戻せる状態かも確認しましょう。バックアップがサイトと同じサーバーだけに保存されていると、改ざん時に一緒に失われます。別のストレージに保存し、復元を一度試しておくことをおすすめします。
中小企業は今日何をすべきか
- 自社ドメインの直下と/wp-content/uploads/をブラウザで開き、バックアップzip・.env・info.phpなどが取得できないか、ファイル一覧が表示されないかを確認する
- WordPress管理画面の「ダッシュボード→更新」を開き、本体・プラグイン・テーマの未更新をすべて適用する（事前にバックアップを取得）
- 「ユーザー」で管理者権限のアカウントを棚卸しして、使っていないアカウントを削除し、残すアカウントに二要素認証を設定する
よくある質問
小さな会社のサイトでも攻撃者に狙われるのですか？
狙われます。AIエージェントで偵察が自動化されると、標的を選ぶ手間がほぼなくなるため、規模に関係なく古いサイトが機械的に拾われる可能性があります。知名度ではなく「更新されているか」が分かれ目です。
バックアップのzipファイルをサイト内に置いていました。どうすればよいですか？
まず該当ファイルを削除し、ブラウザで該当URLを開いて取得できないことを確認してください。そのうえで、中にデータベースが含まれていた場合は、管理者パスワードとデータベースのパスワードを変更することをおすすめします。今後はサーバー外のストレージに保存してください。
自分のサイトに問題がないか、まとめて確認する方法はありますか？
WP守るの無料WordPress安全診断（https://wp-mamoru.com/diagnosis/）で、バージョン・プラグイン・公開ファイルの状態をまとめて確認できます。管理画面での確認が難しい場合にご利用ください。
出典
