mokkosan

想像を逞しく考えるに、おそらく、普通にログインできた4月12日以降に、サーバのシステムがバージョンアップして、古いWordPressが動作範囲外になってしまったため、エラーが発生しているのではと思います。もしかしたら、今までご自身で、WordPressやプラグイン・テーマを、こまめに更新してきていなかったのではないかと想像します。

これは例えて言えば、オイル交換をずっとしていない車に乗っていて、しかも警告灯が点灯しているにもかかわらず、それを放置して乗り続けた挙句に、車が故障して動かなくなってしまった状態と言えるでしょう。

多少なりとも車をいじった経験があれば、詳しい人に聞きながら、なんとか応急処置くらいはできるでしょう。しかしながら、全く触ったこともないし、用語もわからんという人は、聞いただけでどうにかできるとは思えないですよね。さっさとプロの自動車工場までレッカーしてもらう方が早く対処できるはずです。

今回の件でいえば、ことりさんがあげたチェックリスト等は、ごく基本の診断方法です。それによって、問題がどこにあるのか切り分けて、原因を特定するために必要になります。それがチンプンカンプンということでしたら、取りうる道は三つしかありません。

1. 諦める。→新しいサイトを作って、中身を移動する。
2. 学ぶ。→1から学んで対処できるように頑張る。
3. 依頼する→餅は餅屋です。WordPressのプロに頼みましょう。

どの道を選ぶかは、あなた次第です。

ブラウザのキャッシュは削除してみましたか？また、いつも使っているブラウザとは違うもの、例えばChromeを常用にしているならFirefoxを使ってみるとか、で状況は変わりますか？なお、それはないとは思いますが、Swell側に原因がある場合、有償製品なので、このフォーラムでは取り扱うことができません。メーカーサポートに聞いてもらうことになります。

なるほど。では、まず届いたメールの指示通りにしてみるというのはどうでしょうか。

ログインするのにはIDとパスワードが必要なわけですが、お使いのパスワードが過去に流出したリストに含まれているものだったようで、そのままだと乗っ取られる可能性があるので、アカウントにプロテクトをかけたと書いてありますよね。で、ログイン画面で示してある数字を入力してログインし、パスワードをすぐに変更してください。と指示があります。これらは行いましたか？

これらを行わずにJetpackだけ止めてログインしたとすると、危険なパスワードのままプロテクトが解除されてしまって、その隙に何らかの攻撃があっておかしくなっている可能性もあるかと思います。（あくまでも可能性ですからそうなっていると指摘しているわけではありません。）

(6)ですが、wpフォルダの上の階層はどうなっていますか？

なお、netowlは私は使っていないので固有の事象に関しては分かりません。他の方のアドバイスも待ってみましょう。

「ログインしていない状態でwp-adminのフォルダやファイルにアクセスすると、wp-login.phpにリダイレクトされるものだと認識しております。」とお書きですが、この認識が間違っています。

Apacheのリダイレクトの場合、例えば、.htaccessなどに

Redirect 301 /a.php /b.php

と書くか、または、

RewriteEngine On
RewriteRule ^a.php$ b.php [R=301,L]

と書くことで実現できます。

この時Apacheは、ブラウザからa.phpが要求されたら、a.phpを開くことなく即座にb.phpを開きます。ですから、b.phpが閲覧制限されていたら、a.phpもまた閲覧制限が適用されます。

ところがwp-admin/index.phpは、そういう正規の意味でのリダイレクトが行われているわけではありません。WordPress の PHP コード（アプリケーションレベル）で実行されている擬似的なリダイレクトです。その動作は次のようになっています。

処理の流れ（ログインしていない場合に wp-admin/index.php にアクセスすると…）

1. ブラウザが https://example.com/wp-admin/index.php にアクセス
2. Apache は そのファイルを通常通り処理し、PHP が実行される
3. wp-admin/index.php → wp-admin/admin.php が読み込まれ、
4. admin.php 内で WordPress コア関数 auth_redirect() が呼ばれる
5. この関数が「ログインしていない」と判定すると、wp_redirect( wp_login_url() ); exit; というコードにより、PHP側で wp-login.php へリダイレクト
6. ブラウザが wp-login.php?redirect_to=... に飛ばされる

という流れです。

つまり、一旦index.phpは開かれるわけです。ということは、wp-login.phpにいくらIPアドレス制限をかけても、制限をかけてないindex.phpはアクセスし放題なわけです。もちろん、index.phpで処理された結果転送されたwp-login.phpは開かれないですよ。でも、index.phpは開かれた後なので、ログには制限されているはずのIPアドレスが残るのです。

FilesMatchディレクティブの動作はまず、ファイル名に対して指定したものと合うかどうかを比較し、ヒットした場合には、ディレクティブ内のルールを適用します。よく似たのに、Filesディレクテイブがあり、これもファイル名に対して比較がはたらきます。これはどちらも、ファイル名に対して比較がはたらきます。ですからファイルではないwp-admin（ディレクトリ名）にはマッチしません。つまり、ご指定のディレクティブだと、wp-admin/index.phpなどにはアクセスし放題です。

また、そもそもサーバの設定で.htaccessでFilesMatchディレクトリが許されているのかどうか確認する必要があります。Apacheの場合なら、AllowOverride Allでないと、.htaccessのFilesMatchディレクティブは無視されます。

AllowOverride Allという前提で、wp-admin以下のファイルにアクセスできないようにするには、wp-adminディレクトリ内にディレクティブ指定しないで単純に

Order deny,allow
Deny from all
Allow from 1.1.1.1
Allow from 1.1.1.2

とした上で、フロントエンドで動くプラグインやテーマのJavaScriptがアクセスする可能性の高いadmin-ajax.phpのみ制限を解除するように次の指定を続けます。

<Files admin-ajax.php>
    Order allow,deny
    Allow from all
    Satisfy any
</Files>

以上で、指定したIPアドレスのみがアクセスできるようになるでしょう。

なお、これでも改善しない場合、Sucuri がリモートのIPではなくてCDN経由のIPを拾っている可能性があります。Suc uriの動作は詳しくないので、他の人の答えに期待しましょう。

追加ですが、PHPに関していえば、8.0以下はすでにEnd of lifeを迎えており、セキュリティホールがあってもメンテナンスされない危険な状態です。（今日2025/03/23現在）また、8.1は2025年いっぱい、8.2は2026年いっぱいでEnd of lifeを迎えます。その辺りの事情も踏まえて、どのバージョンで運用するのかを決めましよう。

10年以上むかしの話ですが、少しの間だけ、ホームページビルダー経由でWordPressを触っていました。当時は今よりWordPress自体のエディターが貧弱というか、HTMLの知識がないと色々できないような状態だったので、ホームページビルダーにもそこそこ需要があったのだと思います。

ところが今、ホームページビルダーのサポートがなくなっているのは、すでにWordPress自体のエディターが充実して、使いやすくなっているからとも言えます。だから、ホームページビルダーの需要がなくなってきたのでしょう。ですから、今が乗り換えどきだと思います。

あと一つ、「1．「インストールプラグイン一覧」に「Contact　Form7」は表示されております。
ただ、送って頂いた添付画像の「設定」「無効化」「翻訳を更新」の場所には、当方の場合「有効化」と「削除」の二つしかありません。」

とのことですが、WordPressのプラグインは、インストールしただけでは機能しません。ないのと一緒です。ですから、その時点ではメニューにも出てきません。有効化して、初めて機能し始めます。ですから、有効化の方をクリックすると、メニューに出てきます。

ある意味これは、WordPressにめっちゃ関係ある質問だと思うのですよね。

「特に、何か変なことはした覚えがない」にもかかわらず、真っ赤な「危険なサイトです」が出ているということは、十中八九、クラキングされてマルウェアが仕込まれたと思っていいと思います。そうではないこともないわけではないかもしれませんが、やられてると思って対処すべきでしょう。

原因は、WordPressやテーマ、プラグインが更新されておらず、脆弱性がある状態であったか、あるいは、管理者のIDとパスワードが容易に想像できるものであったり、単純であったり、他のサイトやサービスと共有している組み合わせだったりしてそれが漏洩している場合などが考えられます。

対処としては、マルウェアを駆除してもろもろ最新版にメンテナンスして、IDパスワードを新しいユニークで難解なものに変える必要があります。

WordPressを運用する場合、セキュリティは意識して確保すべきだと思うのですよ。仕事で使っているサイトであるなら、お客さんの個人情報を扱うこともあるでしょうしね。