[WordPress] 404も無視してはいけない! 定期的に同じファイル名にアクセスしていればブロックの対策を考える必要性が高い [2025/04/16]

Q : xmlrpc.phpに対して定期的な時間でアクセスされている記録がある．wordpressのサイトヘルスにはnot found requestとして記録されている．セキュリティー上リスクが高いと考えられか

ChatGPT:

はい、ご指摘の通り、xmlrpc.php に対して 定期的なアクセス（特に Not Found として記録されるようなリクエスト） がある場合、セキュリティリスクの兆候である可能性が高いです。
特に WordPress サイトにおいては、xmlrpc.php は過去に多くの悪用事例があるため、使用していない場合は無効化することが強く推奨されます。

✅ なぜ xmlrpc.php へのアクセスはリスクになるのか？

✅ 「Not Found Request」に出ているのに危険？

はい、それでも危険性はあります。

• xmlrpc.php が実際には削除・ブロックされている（またはルールで遮断されている）ために「Not Found」になっていても、
• 攻撃対象としてスキャンされ続けているという事実自体が、Botから監視対象にされていることを意味します。

✅ 推奨対応策（使っていない場合）

🔒 1. アクセス完全遮断（.htaccessで）

apache:
全部のアクセスを制限する場合(以下のコード)

<Files xmlrpc.php>
  Order Deny,Allow
  Deny from all
</Files>

一部サービスを許可する場合(以下のコード)

<Files "xmlrpc.php">
  Order Deny,Allow
  Deny from all
  Allow from 203.0.113.5
</Files>

🔒 2. Nginx でブロック

nginx:(以下のコード)

location = /xmlrpc.php {
  deny all;
  access_log off;
  log_not_found off;
}

🔒 3. プラグインでブロック（コード不要）

✅ 使用しているか確認するべきサービス

🛡 サイトヘルスでNot Foundと記録される場合の意味

• サイト自体が「xmlrpc.php はもう存在しない（またはアクセスできない）」と認識している
• しかし外部からリクエストが来続けている（Bot or 攻撃者）

→ アクセスはブロックしつつ、ログに残さないようにすることがベスト

✅ まとめ

Q2 : wordpressのルートディレクトリにある”.htaccess”ファイルに”xmlrpc.php”へのアクセスをブロックする設定を記載するのでよいか?

ChatGPT:

はい、WordPress のルートディレクトリにある .htaccess ファイルに xmlrpc.php へのアクセスブロックを記載するのは、非常に適切なセキュリティ対策です。
.htaccess は Apache サーバーでのディレクトリごとのアクセス制御が可能な設定ファイルで、xmlrpc.php への不要なアクセスを効率的に遮断できます。

✅ 推奨される .htaccess の記述例

以下のコードを .htaccess の末尾または WordPressのデフォルトルールの**外側（下）**に追加します：

apache:

<Files xmlrpc.php>
  Order Deny,Allow
  Deny from all
</Files>

🔒 より新しい Apacheバージョン（2.4 以降）向けの記述（推奨）

Apache 2.4 以降を使用している場合はこちら：

apache:
<Files "xmlrpc.php">
  Require all denied
</Files>

📌 記述場所の注意点

.htaccess ファイルの構成：

apache:

# BEGIN WordPress
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
...
</IfModule>
# END WordPress

# xmlrpc.php アクセス拒否（←このように WordPressブロックの外に記述）
<Files "xmlrpc.php">
  Require all denied
</Files>

✅ ブロックされるとどうなる？

• https://yourdomain.com/xmlrpc.php にアクセスしても、403 Forbidden が返されます
• ブラウザやBotからのアクセスも無効化されます
• WordPressサイトの通常の動作には影響ありません（xmlrpc.php を使っていない限り）

✅ 例外：xmlrpc.php が必要な場合は？

一部サービスだけ許可するには IP制限付き設定も可能：

apache:
<Files "xmlrpc.php">
  Order Deny,Allow
  Deny from all
  Allow from 203.0.113.5
</Files>

✅ まとめ