SQLインジェクションでの改ざん

4.9.8にアップしたところ、Webページ改ざんされました。

WAF対応のサーバーのバージョンを4.9.8にししばらくしたら、
ログが残っていたので、見てみたところ、
%2fwp%2djson%2foembed%2f1%2e0%2fembed%3furl%3dhttp%3a%2f%2fwww%2eexample%2ecom%2farchives%2f34%27%29%20UNION%20ALL%20SELECT%20NULL%2cNULL%2cNULL%2cNULL%2cNULL%2cNULL%2cNULL%2cNULL%2cNULL%2cNULL%2d%2d%20DhKz
%2fwp%2djson%2foembed%2f1%2e0%2fembed%3furl%3dhttp%3a%2f%2fwww%2eexample%2ecom%2farchives%2f34%27%20ORDER%20BY%201%2d%2d%20WPrJ
等のSQLインジェクション攻撃のようです。

WAFが無い，無効，適切な設定でない場合は、
.htaccessの書き換えや、PHPファイル等の書き換え、不正なファイルの作成等の改ざんが行われるようです。

なお、4.9.7では問題無いようです。