山梨大学のレンタルサーバ上Webサイト、約半数へサイバー攻撃、WordPress使用サイトの学外公開を停止|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月13日更新日時: 2026年08月13日

山梨大学総合情報戦略機構は、情報システム課に利用申請し、さくらのレンタルサーバー上に開設されたWebサイトの約半数で大規模なサイバー攻撃が発生したとして、対象サイトの学外公開を停止しています。2026年8月5日更新の告知では、調査と対策のため、対象Webサイトへのアクセスを学内からのみに限定していると説明されています。

同機構は、7月30日に発生した一時的なアクセス不可事案に関連するもので、同一のサーバー上で稼働するほぼ全てのWordPress使用サイトが侵害されているとしています。公開状況一覧では、研究室、学部・学科、附属病院関連、附属学校、研究センター、国際会議、学内プロジェクトなど59件のWebサイトが閲覧不可とされています。

本件は、大学や公的機関でよく見られる「研究室・部局・プロジェクト単位で立ち上げたWordPressサイト」をどう統制するか、という典型的な課題を含んでいます。Webサイト自体は小規模でも、大学ドメイン配下にある以上、改ざん、悪性サイトへの誘導、フィッシング、検索結果汚染、研究・医療関係者への標的型攻撃の入口になり得ます。単にサイトを復旧するだけではなく、サーバー、CMS、プラグイン、管理者権限、ログ、バックアップ、廃止済みサイトを含めた全体管理の見直しが必要です。

山梨大学レンタルサーバ侵害事案のサマリー

山梨大学総合情報戦略機構は、情報システム課に利用申請し、さくらのレンタルサーバー上に開設されたWebサイトの約半数で大規模な侵害事案が発生したと公表しました。
調査と対策のため、対象Webサイトへのアクセスは学内からのみに限定されており、公開状況一覧では59件のWebサイトが閲覧不可とされています。
山梨大学は、7月30日に発生した一時的なアクセス不可事案に関連し、同一サーバー上で稼働するほぼ全てのWordPress使用サイトが侵害されていると説明しています。
現時点の公表内容では、侵害手口、マルウェアの種類、改ざん内容、個人情報漏えいの有無、個人情報保護委員会への報告状況は明らかにされていません。
本件は、研究室や部局単位で運用されるWordPressサイトの更新不備、管理者不明、共有サーバー上の横断的影響、復旧時の再侵害リスクを考えるうえで重要な事例です。

整理表

項目	内容
公表主体	山梨大学総合情報戦略機構
掲載日	2026年7月31日
更新日	2026年8月5日更新
事案	レンタルサーバ上のWebサイトにおける大規模な侵害事案
対象	情報システム課に利用申請し、さくらのレンタルサーバーに開設されたWebサイトの一部
山梨大学の説明	対象Webサイトの約半数で侵害事案が発生
WordPress関連の説明	同一サーバー上で稼働するほぼ全てのWordPress使用サイトが侵害
現在の措置	調査と対策のため、対象Webサイトへのアクセスを学内からのみに限定
公開状況一覧の件数	59件が閲覧不可
含まれるサイトの例	研究室、学部・学科、附属病院関連、附属学校、研究センター、国際会議、プロジェクトサイトなど
個人情報漏えいの有無	公表資料上では確認できず
個人情報保護委員会への報告状況	公表資料上では確認できず
原因	調査中。公表資料では具体的な侵入経路や悪用脆弱性は明記されていない
注意点	WordPress脆弱性やプラグイン・テーマの不備が原因と断定することはできない
主なリスク	Web改ざん、悪性サイト誘導、フィッシング、マルウェア配布、検索結果汚染、バックドア残存、認証情報の悪用
情シス部門の論点	分散運用されたCMSの台帳化、更新管理、管理者権限の棚卸し、共用サーバーの責任範囲確認、復旧前の完全性確認

何が起きたか

山梨大学総合情報戦略機構は、2026年7月31日付のメンテナンス・障害情報で、情報システム課に利用申請し、さくらのレンタルサーバーに開設されたWebサイトの約半数において、大規模な侵害事案が発生したと公表しました。調査と対策のため、対象Webサイトへのアクセスは学内からのみに限定されています。

同告知では、現在学外からアクセスできているWebサイトについて、さくらのレンタルサーバー上に開設されているかどうかにかかわらず影響はないと説明されています。つまり、山梨大学の全Webサイトが停止しているわけではなく、対象はレンタルサーバー上の一部Webサイトです。

ただし、影響範囲は小さくありません。公開状況一覧では59件のWebサイトが閲覧不可とされており、研究室、学部・学科、附属病院関連、附属学校、研究センター、国際会議、学内プロジェクトなど、大学の幅広い活動に関わるページが含まれています。山梨大学は、安全性の確認および復旧作業を進め、安全性が確認できたWebサイトから順次公開を再開するとしています。

今回の公表で特に重いのは、同機構が「同一のサーバー上で稼働するほぼ全てのWordPress使用サイトが侵害されている」と説明している点です。単一サイトの改ざんではなく、同一サーバー上にある複数のWordPressサイトへ横断的に影響が及んでいる可能性があります。

現時点で分かっていることと分かっていないこと

現時点で分かっているのは、山梨大学が契約しているレンタルサーバー上でセキュリティインシデントが発生し、一部のWebサイトが公開停止となっていることです。対象一覧には59件が掲載され、すべて閲覧不可とされています。公表文には、7月30日の一時的なアクセス不可事案に関連すること、同一サーバー上で稼働するほぼ全てのWordPress使用サイトが侵害されていることも記載されています。

一方で、侵入経路、悪用された脆弱性、侵害されたファイル、管理者権限の不正利用の有無、Webシェルやバックドアの設置状況、データベースへのアクセス有無、個人情報や問い合わせ情報の漏えい有無は、公表資料上では明らかにされていません。したがって、特定のWordPress脆弱性やプラグインを原因として断定することはできません。

さくらインターネット側の公開情報では、2026年7月30日にさくらのレンタルサーバーの一部サーバーで接続できなくなる障害が掲載されています。ただし、山梨大学の告知は対象サーバー名を公表していないため、外部から確認できる範囲では、さくら側の個別障害情報と山梨大学の侵害事案が同じサーバーを指すかまでは確認できません。この点は、報道や記事では慎重に扱うべきです。

山梨大学の公表文は、現段階では被害の詳細よりも、影響拡大防止と学外公開停止を優先した内容です。大学側が学外公開を止めていること自体は、侵害された可能性のあるサイトを外部利用者に閲覧させないという意味で妥当な初動です。ただし、学内からのみアクセス可能な状態であっても、侵害済みコンテンツが残っている場合は学内端末に対するリスクが残り得るため、復旧までは学内利用者への周知も必要になります。

対象Webサイトの範囲

山梨大学の公開状況一覧には、59件のWebサイトが掲載されています。内容を見ると、単なる告知用サイトだけではありません。工学部100周年事業、土木環境工学科、教育学部、研究室、研究センター、国際学術会議、附属病院看護部、医学部診療科、薬剤部、附属小学校、附属中学校、附属幼稚園、特別支援学校、ワイン科学研究センター、COI-NEXT拠点関連サイトなどが含まれています。

この一覧から見えるのは、大学のWebサイトが一枚岩ではないということです。大学本体の公式サイトとは別に、研究室、教員、附属施設、プロジェクト、学会・会議、学生募集、寄附・記念事業など、目的ごとに個別サイトが立ち上がります。これらは広報上は便利ですが、情報システム部門の統制から外れやすく、長期間更新されないWordPress、放置されたテーマ、管理者が異動・退職したアカウント、使われなくなったプラグインが残りやすい領域でもあります。

特に大学ドメイン配下のサブドメインは、利用者から見れば大学公式の一部として扱われます。研究室サイトであっても、附属病院関連サイトであっても、攻撃者が悪性スクリプトや偽ログイン画面を設置すれば、閲覧者は大学の正規ページと誤認しやすくなります。大学名の信用があるからこそ、侵害時の影響はWebサイトの規模以上に大きくなります。

なぜWordPressサイトの大規模侵害は危険なのか

WordPressは、研究室や小規模部局でも扱いやすく、情報発信に向いたCMSです。一方で、攻撃者にとっても標的にしやすい環境です。WordPress本体、テーマ、プラグイン、PHP、データベース、管理画面、FTPやSFTP、レンタルサーバーの管理画面など、守るべき要素が多く、どれか一つの管理が崩れると侵害につながります。

WordPress公式の管理者向け文書でも、WordPress本体、インストール済みプラグイン、テーマを最新状態に保つことが重要であり、セキュリティは計画、監視、定期的な保守を必要とする継続的な作業だと説明されています。WordPressは導入して終わりではなく、運用し続ける前提のシステムです。

大学の研究室やプロジェクトサイトでは、立ち上げ時の担当者はいても、数年後の保守担当者が曖昧になることがあります。年度更新、人事異動、学生の卒業、研究費の終了、プロジェクト終了により、WordPressの更新作業が止まる。これが大学サイト特有の弱点です。外から見れば大学の公式サブドメインですが、実態としては研究室単位で管理され、脆弱性情報の確認やプラグイン更新が継続されていない場合があります。

WordPress侵害でよく問題になるのは、表示改ざんだけではありません。攻撃者は、Webシェルやバックドアを設置し、後から再侵入できる状態を作ることがあります。別のサイトへのリダイレクト、SEOスパム、偽のブラウザ更新画面、認証情報の窃取フォーム、マルウェア配布、スパムメール送信の踏み台化も起き得ます。

さくらのレンタルサーバーのサポート情報でも、WordPressなどのWebアプリケーションを最新版ではない状態で利用した場合や、適切にメンテナンスされていないプログラムを使用している場合、脆弱性が悪用され、不正ファイル設置、Webアプリケーション管理者パスワードの盗用、サーバーアカウントの乗っ取りが起きるおそれがあると説明されています。また、バックドアが残ったままでは再侵入の危険があるため、根本的な解決にはすべてのWebコンテンツを一度削除する必要があるとしています。

7月下旬のWordPress脆弱性注意喚起との関係は断定できない

今回の山梨大学事案について、現時点の公表資料では、どの脆弱性が悪用されたかは明らかにされていません。そのため、特定のWordPress脆弱性やプラグインを原因として書くべきではありません。

ただし、時期的な周辺情報として、IPAは2026年7月22日、WordPressのCVE-2026-60137およびCVE-2026-63030に関する注意喚起を公開しています。IPAは、WordPress 6.9以降ではこれら2件の脆弱性の組み合わせにより、遠隔でのコード実行が生じる可能性があるとし、影響を受けるWebサイトでは直ちに更新することが推奨されていると説明しています。これらの組み合わせはwp2shellと呼ばれ、標準構成で管理者権限などを要さず遠隔コード実行に至る可能性が指摘されています。

この注意喚起は、山梨大学事案の原因を示すものではありません。一方で、WordPress運用では「自動更新されているはず」「小規模サイトだから狙われないはず」という前提が危ういことを示しています。IPAも、自動更新によってバージョンアップされているかどうかを確認し、更新されていない場合には手動更新を検討するよう促しています。

複数のWordPressサイトを同一サーバー上で運用している組織では、1サイトの脆弱性や管理者情報の漏えいが、同一アカウントや同一ファイルシステム上の別サイトへ影響する場合があります。原因がどの脆弱性であれ、復旧時にはWordPress本体だけでなく、テーマ、プラグイン、管理者ユーザー、データベース、ファイル権限、サーバー管理画面、FTP/SFTP認証情報まで一体で見直す必要があります。

共用レンタルサーバーで起きやすい問題

レンタルサーバーは、大学の研究室や小規模部局にとって使いやすい選択肢です。専用サーバーやクラウドを構築しなくても、Webサイトを比較的低コストで公開できます。ただし、利用者側の責任範囲を誤解すると、セキュリティ上の穴になります。

さくらのサポート情報では、さくらのレンタルサーバーは複数ユーザーが1台のサーバーを共有する共用サーバーで運営されていると説明されています。共用サーバーでは、サーバー基盤の管理は事業者側が担う一方、Webコンテンツ、CMS、プラグイン、テーマ、認証情報、設置ファイルの管理は基本的に利用者側の責任になります。

IPAも、クラウドやホスティングサービスを利用する場合は、サービス事業者側の作業範囲とセキュリティ対策を把握し、不足する対策は自組織で対応することを検討するよう説明しています。これは、大学のレンタルサーバー利用にもそのまま当てはまります。

共用レンタルサーバーでは、物理的なサーバー基盤が共用であること以上に、組織内の運用が共用化されていることが問題になりやすいです。複数の部局や研究室サイトが同じ契約、同じ管理画面、同じFTPアカウント、同じWeb領域、同じ保守担当者で運用されている場合、1つの認証情報や1つの古いWordPressが侵害されたときに、複数サイトへ影響が広がるおそれがあります。

山梨大学の公表文にある「同一のサーバー上で稼働するほぼ全てのWordPress使用サイトが侵害」という表現は、個別サイト単位の対策だけでは足りないことを示しています。どのサイトが最初の侵入点だったかを調べるだけでなく、同じサーバー上の全サイトを同一インシデントとして扱い、横断的に調査する必要があります。

想定される被害と二次被害

現時点で、山梨大学の公表資料から個人情報漏えいが確認されたわけではありません。ただし、WordPressサイトの侵害では、個人情報漏えいが確認されていなくても複数の二次被害が発生します。

リスク	内容	利用者・組織への影響
Web改ざん	公式サイト上の文章やリンクが書き換えられる	大学の信用低下、誤情報の拡散
悪性サイト誘導	閲覧者が広告、詐欺、マルウェア配布サイトへ転送される	学生、受験生、患者、研究関係者の端末被害
フィッシング	大学ドメイン上に偽ログインフォームが置かれる	Microsoft 365、学内ID、研究システムの認証情報窃取
SEOスパム	医薬品、ギャンブル、アダルト、投資詐欺などのページが埋め込まれる	検索結果汚染、ブランド毀損
バックドア残存	見かけ上復旧しても再侵入経路が残る	再改ざん、長期潜伏、復旧作業のやり直し
メール悪用	サーバーやドメインが迷惑メール送信に使われる	ドメイン評価低下、正規メールの到達率悪化
データベース閲覧	問い合わせフォームや申込情報が保存されていた場合に閲覧される	個人情報漏えい、標的型メールの材料化
研究・医療文脈の悪用	研究室、病院、診療科の名称を使ったなりすましが行われる	共同研究先、患者、学生への精巧な詐欺

大学サイトの場合、閲覧者は学生や教職員だけではありません。受験生、保護者、患者、共同研究先、学会参加者、企業担当者、自治体、海外研究者などもアクセスします。附属病院や診療科のサイトが含まれる場合、医療文脈を悪用したフィッシングや偽連絡にも注意が必要です。

攻撃者は、大学の公式ドメイン配下であることを利用できます。たとえば、侵害された研究室サイトに偽の資料ダウンロードページを置き、共同研究先にメールで案内すれば、受信者は通常より警戒しにくくなります。これが大学Webサイト侵害の怖さです。

復旧時に避けるべき対応

WordPress侵害では、画面上の改ざんが消えたから復旧完了と判断するのは危険です。攻撃者が設置したバックドア、追加管理者アカウント、不審なプラグイン、テーマファイルへの埋め込み、データベース内の悪性コード、cron設定、.htaccessの改変、アップロードディレクトリ内のPHPファイルなどが残っていると、再侵害されます。

避けるべき対応は、侵害されたWordPressをそのまま上書き更新するだけで済ませることです。アップデートは必要ですが、侵害後の環境では、すでにファイルやデータベースが改ざんされている可能性があります。バックドアが残っている状態で本体やプラグインを更新しても、攻撃者が再度アクセスできる経路を残してしまいます。

もう一つ避けるべきなのは、サイトごとに個別復旧し、サーバー全体の調査をしないことです。今回の公表では、同一サーバー上のWordPress使用サイトが広く侵害されているとされています。この場合、1つの研究室サイトだけを復旧しても、同じサーバー上の別サイトに残ったバックドアから再侵害される可能性があります。

管理者パスワードだけを変更して終わることも不十分です。FTP/SFTP、SSH、データベース、WordPress管理者、レンタルサーバー管理画面、メール、DNS、外部連携サービス、Gitリポジトリ、バックアップ保存先など、侵害に使われた可能性のある認証情報はまとめてローテーションする必要があります。

復旧前に確認すべきチェックリスト

確認項目	確認内容
影響範囲	同一サーバー上の全Webサイト、全WordPress、全データベース、全ドメインを対象にする
初期侵入経路	WordPress本体、プラグイン、テーマ、FTP/SFTP、管理画面、端末感染、漏えい済み認証情報を確認する
ファイル改ざん	WordPressコア、テーマ、プラグイン、uploads配下、.htaccess、wp-config.php、不審なPHPファイルを確認する
データベース	管理者ユーザー、投稿本文、ウィジェット、オプション値、リダイレクト設定、不審なJavaScriptを確認する
バックドア	偽装ファイル、難読化コード、mu-plugins、不審なcron、外部通信、web shellを確認する
認証情報	WordPress管理者、FTP/SFTP、DB、サーバー管理画面、メール、DNS、外部SaaSのパスワードを変更する
管理者権限	退職者、卒業生、外部制作会社、不要な管理者アカウントを削除する
更新状況	WordPress本体、テーマ、プラグイン、PHPバージョンを確認し、不要なものは削除する
バックアップ	侵害前のクリーンなバックアップがあるか確認し、復元後も差分調査を行う
ログ	アクセスログ、エラーログ、FTP/SFTPログ、管理画面ログ、WAFログを保存する
通知判断	個人情報や問い合わせ情報を扱っていたサイトは、漏えい可能性と通知要否を確認する
再公開条件	セキュリティ確認、脆弱性診断、管理者承認、監視設定完了を再公開条件にする

復旧は、早く公開することよりも、再侵害しない状態に戻すことを優先すべきです。特に大学では、入試、学会、共同研究、診療科案内など、公開停止による業務影響が大きいページがあります。それでも、侵害済みのWordPressを不完全な状態で外部公開すると、利用者側の被害につながりかねません。

大学・研究機関で同様の事案が起きやすい理由

大学や研究機関では、Webサイトの管理主体が分散しやすいです。公式サイトは広報部門や情報システム部門が管理していても、研究室サイト、プロジェクトサイト、学会サイト、附属施設サイト、学生向けサイトは、教員、事務担当、学生、外部制作会社が個別に管理していることがあります。

この分散管理は、大学の情報発信を柔軟にする一方で、セキュリティ統制を難しくします。誰が管理者なのか、どのWordPressがどのサーバーにあるのか、どのプラグインが入っているのか、いつまで公開するのか、管理者が退職・異動・卒業した後に誰が更新するのかが曖昧になりがちです。

セキュリティ対策Labでも、2025に発生した大学へのサイバー攻撃やインシデントによる情報漏洩事例と対策で、大学・教育機関におけるサーバー不正アクセス、アカウント侵害、サポート詐欺、公開サイト改ざんなどの事例を整理しています。大学は研究、教育、医療、地域連携、国際交流など多様な情報を扱うため、攻撃者にとっても価値のある標的になります。

また、日本大学文理学部の情報掲示板サイトが改ざん外部サイトへ誘導個人情報流出の恐れや、日本大学文理学部、学生ポータル改ざんの最終報告を公表のように、大学Webサイトの改ざんでは外部サイト誘導や不適切表示が問題になりやすいです。研究科サーバーや公開サーバーの侵害としては、神戸大学研究科サーバーに不正アクセスや、大分大学が公開サーバへの不正アクセスを発表も参考になります。

今回の山梨大学事案は、大学のWebサイト運用を「公式サイト」と「その他の小規模サイト」に分けて考える危うさを示しています。攻撃者から見れば、どれも大学ドメイン配下の入口です。小規模な研究室サイトであっても、侵害されれば大学全体の信用に影響します。

情報システム部門への示唆

情報システム部門が最初に行うべきことは、大学内・組織内の全Webサイトを台帳化することです。公式サイトだけでなく、研究室、部局、プロジェクト、イベント、採用、学会、附属施設、旧サイト、試験公開サイトを含め、ドメイン、サブドメイン、サーバー、CMS、管理者、委託先、利用プラグイン、更新責任者、公開期限を記録する必要があります。

WordPressを許可する場合は、標準運用を決めるべきです。WordPress本体、テーマ、プラグインの更新方針、自動更新の扱い、禁止プラグイン、管理者権限付与ルール、退職・異動・卒業時のアカウント削除、バックアップ、ログ保存、WAF、脆弱性診断、改ざん検知の基準を明文化します。個別研究室の努力に任せるのではなく、組織として共通基盤を用意する方が現実的です。

短期プロジェクトやイベントサイトでは、WordPressを新規に立ち上げる前に、静的サイトや公式CMS配下のサブディレクトリ、中央管理のサブドメインで代替できないかを確認すべきです。WordPressは便利ですが、公開後の保守コストを必ず伴います。数ページの告知サイトのためにCMSを立ち上げ、数年後に誰も管理しない状態にする運用は、攻撃者に入口を残すことになります。

レンタルサーバーを使う場合は、事業者と利用者の責任分界点を明確にする必要があります。ホスティング事業者がサーバー基盤を管理していても、WordPress、プラグイン、テーマ、管理者アカウント、設置コンテンツ、問い合わせフォームのデータ管理は利用者側に残ります。IPAが示すように、クラウドやホスティングでは、事業者側の作業範囲と不足する自組織側の対策を把握することが重要です。

復旧時は、対象サイトだけでなく、同一サーバー上の全サイトをまとめてインシデントとして扱う必要があります。山梨大学のように、同一サーバー上のWordPress使用サイトが広く侵害されている可能性がある場合、サイトごとの個別復旧ではなく、サーバー全体の封じ込め、証拠保全、クリーン環境への再構築、認証情報の一斉ローテーション、不要サイトの廃止を同時に進めるべきです。

公開再開の判断も、単に画面が表示されることではなく、再侵害しない状態になったかで判断する必要があります。最低限、ファイル改ざん調査、データベース調査、管理者アカウント棚卸し、ログ確認、脆弱性修正、不要プラグイン削除、バックアップ確認、WAF・監視設定、再公開承認の記録を残すべきです。

最後に、大学・公的機関は、閲覧者に対する注意喚起も忘れてはいけません。侵害期間中に対象サイトへアクセスした利用者、資料をダウンロードした利用者、ログインや問い合わせを行った利用者がいる場合、パスワード変更、不審メールへの注意、マルウェアスキャン、公式窓口確認を促す必要があります。個人情報漏えいが確認されていない段階でも、利用者保護の観点から、何が確認済みで、何が調査中なのかを分けて継続的に発信することが重要です。

今回の事案は、WordPressそのものの是非というより、分散して増え続けるWebサイトをどう管理するかという問題です。大学ドメイン配下の小さなサイトは、外から見れば大学の看板です。研究室単位、部局単位の自由な情報発信を維持するためにも、情シス部門はWebサイトの資産管理、CMSの標準化、更新責任、復旧手順を組織的に整える必要があります。