悪意のワードプレス・テーマについて

WordPress のテーマは実質的に PHP のコードなので、悪意あるコードを含んでいる可能性はありますね。といっても、ウイルスのようなものではなく、データベースの中身を吸い出してどこかのサイトに送信するとか、そういう感じだと思います。

確認するには、ダウンロードしたテーマの PHP, JS, CSS ファイルをくまなく精査することですが、PHP や JavaScript コードのセキュリティーに詳しくないと検出するのは難しいでしょう。例えば、fsockopen などのコードがあると「外部サイトにデータ送信している可能性がある」などの判断はできますが、そんなあからさまな命令を入れている可能性は低そうですし。

場合によっては、画像ファイル (GIF, PNG, JPEG) の中に PHP コードを埋め込んで、ブラウザーの脆弱性によって実行させる手法を使っている場合もありますが、これについては確認は困難です。

不安があるならば、現在使用中のテーマを即時使用停止し、サーバーから削除してください。念のため、テーマファイル自体は手元に残しておいてください (ローカルマシンで動作するようなウイルスが入っている可能性はまず考えられないので保存すること自体は大丈夫でしょう)。

あとは、悪い行為を行うための踏み台サイトにされる場合が考えられます。データベースをいじったり、勝手にファイル生成したりできれば、フィッシング詐欺用のサイトを作れたりします。

ほとんどの無料テーマは心配ないので、あまり気にしなくていいとは思いますが、使わないテーマはサーバーから削除しておいた方が無難でしょう。現在使用中のテーマについて、入手元が判明していれば、その URL をここに書けば、フォーラム参加者のみなさんで検証することは可能です。