WordPressに知らない管理者がいる｜消す前に確かめる3つと残る入口

WordPressのユーザー一覧を開いたら知らない管理者の名前があり、消していいのか迷う担当者は多いです。知らない管理者は前任者や制作会社のものか乗っ取りの跡のどちらかで、名前を消すだけでは足りません。消す前にバックアップを取り、誰のものかを確かめてから消すか残すかを決めます。

サイトの修復を請け負うSucuriの報告では、2023年にデータベースが書き換えられていたWordPressのサイトのうち55.2%に不正な管理者がいました（Sucuriの2023年版の報告）。

この記事では管理者に何ができるのかを先に説明します。そのうえで名前を消しても入口が残る理由と、消すか調べるかの判断の表と今日やることをお伝えします。

WordPressの管理者はサイトのすべてを変えられる

WordPressの管理者はサイトのすべての管理機能を使える権限です。WordPress公式の説明では管理者を「1つのサイトのすべての管理機能を使える人」としています（WordPress公式の権限グループの説明・2026年11月時点）。

同じ説明によると、プラグイン（機能を足すための追加のプログラム）を入れることやファイルを書き換えることは管理者だけができます。ユーザーを作ることと消すことも管理者だけの権限です。

そのため知らない管理者が1人いるだけで、その人はプラグインを入れて新しい管理者を作ることもできます。管理者の名前は1つでも誰のものか分からない状態にしてはいけません。

知らない管理者は前任者のものか乗っ取りの跡のどちらか

知らない管理者の多くは前任者や制作会社が作ったアカウントですが、乗っ取りで作られたアカウントのこともあります。見た目の名前だけではどちらか分かりません。

前任者や以前の制作会社は作業のために自分用の管理者を作ることがあり、担当が替わってもそのまま残りがちです。この場合は聞けば誰のものかが分かります。

一方でSucuriの同じ報告には、WordPressを狙う裏口は偽のプラグインなどの形で入り込んで不正な管理者を作ることがあると書かれています。2023年に調べた中で見つかった不正なユーザー名は1万1千を超えました。この数字はSucuriが調べたサイトだけの集計で、世の中のサイト全体の割合ではありません。

誰に聞いても持ち主が分からない管理者は乗っ取りの跡として扱います。

名前を消しても入口が残ることがある

不正な管理者を消しても、その管理者を作った裏口がサイトに残っていればまた作られます。Sucuriの報告では2023年に乗っ取られたサイトの49.21%に裏口（あとから何度でも入れるように仕掛けられたプログラム）がありました。

管理者のパスワードとは別に残るものもあります。WordPress 5.6からはアプリケーションパスワード（外のサービスからサイトを操作するための専用のパスワード）をユーザーごとに登録できます（WordPress公式のアプリケーションパスワードの説明）。アプリケーションパスワードは1つずつ取り消す形で、管理画面の「ユーザー」の各ユーザーの編集画面で一覧を見られます。

知らない管理者を消すのは最後の作業で、先に裏口やほかの入口が無いかを確かめます。

消す前にバックアップを取ってから決める

知らない管理者を見つけたら、何かを触る前にファイルとデータベースを丸ごとバックアップに取ります。消したあとで乗っ取りの跡だと分かったときに、何が書き換えられていたかを後から調べられるようにするためです。

WordPressでユーザーを消すときは、そのユーザーの投稿とリンクを一緒に消すか別のユーザーに付け替えるかを聞かれます（WordPress公式のユーザー画面の説明）。一緒に消す方を選ぶと、そのユーザーの名前で出ている記事も消えます。前任者のアカウントなら付け替える方を選び、今の担当者のものにします。

前任者のものだと分かっても、すぐ消せないときは権限グループを「購読者」に下げる方法もあります。購読者は自分のプロフィールしか変えられないので、作業の引き継ぎが終わるまで残しておけます。

消すか残すかはバックアップを取ったあとに決めれば間に合います。

消してよい管理者と調べる管理者の分かれ目

判断の基準は持ち主が分かるかどうかです。次の表で知らない管理者がどちら側かを確かめてください。上司に報告するときもこの表をそのまま使えます。

4つとも左の列なら、バックアップを取ってから消すか購読者に下げれば終わりです。

1つでも右の列があるなら、名前を消す前にファイルの中身まで確かめてください。その場合は管理者を消してもまた作られることがあるので、裏口を探すところから始めます。

御社が今日やること

消すかどうかを決める前に、次の5つを確かめてください。管理画面に入れれば30分ほどで終わります。

1. 管理画面の「ユーザー」→「ユーザー一覧」で「管理者」を押し、管理者の名前とメールアドレスを書き出す
2. 書き出した名前を前任者と制作会社に送り、自分のものかを1つずつ聞く
3. 保守の会社かサーバーの機能でファイルとデータベースのバックアップを取る
4. 管理者ごとの編集画面でアプリケーションパスワードの一覧を見る
5. 自分のプロフィールの画面で他の端末からログアウトするボタンを押し、自分のパスワードを変える

やりがちな失敗は見つけてすぐに投稿ごと消してしまうことです。前任者の名前で出ていた記事まで消え、乗っ取りだった場合は調べる手がかりも消えます。

管理画面に入らずに外から分かる状態を先に知りたいときは無料のWordPress診断で確かめられます。

弊社がやっていること

弊社のサイトもWordPressで動かしていたころに乗っ取られたことがあります。書き換えられた所を消しても、しばらくすると同じものが戻ってきました。裏口がどこにあるかを確かめるのに非常に時間がかかり、最後は別のサーバーでサイトを作り直しています。この経験から弊社は管理者の名前を消す前に裏口が無いかを先に確かめています。

弊社はこれまで他社が作ったWordPressの保守を70社ほど引き継いできました。引き継ぎでは管理画面に入れるかを確かめ、弊社用の管理者アカウントを作ったうえで使われていない古いアカウントを洗い出しています。

そのときは何かを触る前にファイルとデータベースを丸ごとバックアップに取ります。そのうえで本体やテーマが直接書き換えられていないかをファイルの中身まで確かめます。プラグインの一覧と最終更新日を見て乗っ取りの跡が無いかも調べます。保守を始めるまでは2週間ほどです。

保守を始めてからはサイトが開けるかを10分おきに確かめ、トップページの文言が変わったときに知らせる監視も動かしています。

一方で持ち主が分かり乗っ取りの跡も無いなら、弊社に頼む必要はありません。上の表で4つとも左の列なら、バックアップを取ってから御社で消すか権限を下げれば十分です。乗っ取られたあとの被害の例は別の記事で紹介しています。WordPressを続けるか迷っているときは続けていい会社と見直す会社の違いも参考になります。

保守と引き継ぎの点検の料金は料金の一覧にまとめています。知らない管理者がどちら側か分からないときは相談の窓口からご連絡ください。初回の30分は無料です。