WordPressで作ったLP（広告のリンク先ページ）が改ざんされると、Google広告はどの順番で止まるのか。答えは、まず「Compromised sites（不正使用されたサイト）」ポリシーによる不承認と、アカウント停止の少なくとも7日前の警告から始まります。サイトがマルウェアの配布元と判定されると、警告なしの即時停止に切り替わります。広告が戻るのは、掃除とCMS・プラグイン・PHPの更新が終わり、Googleの再クロールが済んでからです。

セキュリティ会社Patchstackの2026年報告によると、2025年に公開されたWordPress関連の脆弱性は11,334件で前年比42%増、うち91%がプラグインのものです。脆弱性が公開されてから最初に悪用されるまでの時間は、加重中央値で5時間。公開時点で46%には修正版がありませんでした。

1. 2026年に起きたこと：正規の更新経路から入った2件と、PHP本体の穴

2026年10月19日、BleepingComputerはSEOプラグインRank Mathの有料版（PRO）が侵害されたと報じました。公式サイトから配布されていたバージョン3.0.123に、10月15日20時02分から16日7時12分（協定世界時）までの約11時間、バックドア（侵入者が後から出入りするための裏口）入りのファイルが混入していました。インストールするとwpsupport_で始まる名前の管理者ユーザーを勝手に作ります。修正版は3.0.124。無効化や更新だけでは除去できません。400万サイト超が使う無料版は対象外です。

その半年前、2026年4月15日には、EssentialPluginという開発元の30を超えるプラグインにバックドアが仕込まれていたと同じ媒体が報じています。2025年8月の事業買収後から潜伏し、2026年4月にアップデート経由で起動しました。注入されたコードはGoogleの巡回ロボットにだけスパムを見せ、人間のブラウザには普通のページを返していました。

プラグインではなく土台の話もあります。2026年10月21日、PHP本体に遠隔からコードを実行できる脆弱性2件（CVE-2026-109618と109619、通称PHP2Shell）の緊急修正が出ました。修正版は8.2〜8.5の4系列に出ており、8.1以下には公式の修正版がありません。Cloudflareの最高技術責任者（CTO）は、修正が出る前から攻撃を観測していたとコメントしています。WordPressはPHPの上で動くので、プラグインを全部最新にしても、PHPが8.1以下ならこの穴は開いたままです。

2件のプラグイン事例に共通するのは、正規の配布元と正規のアップデートから入ってきたことです。Patchstack自身が「プラグインの更新をセキュリティ対策と見なせない」と書くのはこのためで、更新は十分条件ではなくなりました。必要条件であることは変わっていません。

2. Compromised sites（不正使用されたサイト）ポリシーの仕組み：警告ありの不承認と、警告なしの停止

Google広告のポリシーでは「広告ネットワークの不正使用」の下に、Malicious software（悪意のあるソフトウェア）、Compromised sites（不正使用されたサイト）、Unwanted software（望ましくないソフトウェア）の3本が並びます。改ざんLPが最初に引っかかるのはCompromised sitesで、定義は「所有者の知らないうちに、他人の利益になるようコードが改変されたサイト」。例として、同意なくデータを集めるカード情報窃取スクリプト、マルウェアの設置やポップアップ、別サイトへのリダイレクトに加えて、「既知の悪用済み脆弱性を持つCMSを稼働させているサイト」が明記されています。

最後の例は見落としやすい。穴の開いたバージョンのWordPressやプラグインを動かしていて、その穴が実際に突かれた場合は、所有者が気づいていなくてもこのポリシーの対象になります。

処分の重さは2段階です。Compromised sitesは事前警告なしの即時アカウント停止にはならず、停止の少なくとも7日前に警告が届くとヘルプに書かれています。一方、Malicious softwareは「重大な違反」の区分で、検出され次第、事前警告なしにアカウントが停止され、再出稿もできません。改ざんが「訪問者にマルウェアを配っている」段階まで進むと、7日の猶予は消えます。

Googleの検出はもう1系統あります。Search Consoleの「セキュリティの問題」レポートで、区分は「ハッキングされたコンテンツ」「マルウェアと望ましくないソフトウェア」「ソーシャルエンジニアリング」の3つ。検出の系統が別なので、ここが空でも広告側で不承認が出ることはあり、片方だけ見て「問題なし」とは言えません。不承認理由の読み方そのものは審査に落ちたときの手順に譲り、ここでは改ざんに限った順番を扱います。

3. 広告が止まったときの順番：掃除が先、異議申し立ては最後に1回

Compromised sitesのヘルプにある復旧手順を、自分でやる工程と人に頼む工程に分けて表にします。

最も間違えやすいのは⑥の位置です。不承認を見た当日に出したくなりますが、掃除前に出しても再クロールで同じ結果になります。Search Consoleのヘルプも、⑤の審査リクエストについて、直す前に申請すると次回の審査が長引くこと、保留中は再送信しないことを明記しています。申し立ては掃除の後に1回。これで復旧までの日数が変わります。

④の差し替えはヘルプに書かれた正規の手で、直す間はトップページや別のLPに向けて配信を続けられます。差し替え先の選び方はLPがないときのリンク先と同じで、計測タグがそのページで動いているかだけ先に見ます。

4. PHP・プラグインの更新を止めてはいけない理由：「更新すると壊れる」より重い損失

制作会社に更新を頼むと「デザインが崩れる可能性がある」と言われることがあります。崩れることはあります。それでも止めない理由を期限と数字で示します。

表の期限はphp.netの2026年10月25日時点のものです。8.1以下にはPHP2Shellの修正版そのものがなく、今8.1で動いているLPは、攻撃が観測済みの穴を抱えたまま広告費で人を呼んでいることになります。その穴を突かれた時点で、前述のCompromised sitesの不承認の対象に入ります。

自社のPHPのバージョンは、WordPressの管理画面にある「ツール＞サイトヘルス」の情報タブで見られます。切り替えの作業はホスティング会社か制作会社の仕事です。頼むときは「8.3以上にしてほしい」と数字で伝えます。Rank Math PRO 3.0.123とEssentialPlugin製のプラグインが入っていないかも、同じ依頼に添えておきます。

責任の所在も、止まってから決めると揉めます。広告代理店は通常LPのサーバー権限を持たないので、掃除と更新は広告主か制作会社の仕事です。保守契約にプラグインとPHPの更新、改ざん時の対応が含まれているかは、不承認が出る前に契約書で見ておく。

サイトヘルスの画面が答えてくれるのは「更新されているか」という問いだけです。不承認の原因がサイト側だったのか、広告文や計測側だったのかの切り分けは、広告アカウントと計測タグとLPの3つを横断して見ないと答えが出ません。

※ 不承認の原因がLP・広告文・計測のどこにあるかを、運用に関わっていない目で切り分けてほしい方へ ― 広告アカウントの閲覧権限だけで確認できます。実際の診断レポートのサンプル（無料）を用意しています。

5. 誤解しやすい点：見た目がきれいでも不承認は出る

EssentialPluginの事例が示したとおり、改ざんされたサイトはGoogleの巡回ロボットにだけスパムを返し、人間には通常のページを見せることがあります。自分のブラウザでLPを開いて「問題ない」と判断し、そのまま異議申し立てを出すのが最も遠回りです。見た目は証拠になりません。不承認理由に出る外部ドメイン名とSearch Consoleの検出結果を、自分の目より優先してください。HTMLに別のGTM IDを足す改ざんも見た目には出ず、その探し方はGTMの不正タグを見つける手順にあります。

再クロールの72時間も審査の「数日〜数週間」もヘルプ上の目安で、約束された期限ではありません。

この記事の「不正使用されたサイト」は英語ヘルプのCompromised sitesに対応する訳で、日本語の管理画面で同じ文言が出るかは版によって異なります。見つからないときは英語名でヘルプを引いてください。

6. 頼めば終わる作業と、触っていない目にしか答えられない問い

ヘルプどおりの順番で進める限り、ドメイン名の控えとSearch Consoleの確認から、掃除と更新の依頼、最後に1回だけ出す異議申し立てまで、広告主と制作会社の間で片がつきます。PHPを8.3以上に上げる依頼も数字を言えば済みます。

残る問いが1つあります。止まったのは本当にサイト側の理由だけだったのか。改ざんの掃除と同時に広告文も計測タグも触っていると、再開後に成果が戻らない理由がどこにあるのか、触った本人には切り分けられません。設定の有無と更新の有無は自社で確認できても、広告・計測・LPの3つを横断して何が原因で何が結果だったかを定期的に読む作業には、触っていない目が要ります。そこがアカウント診断の領域です。

※ LP改ざんの後、広告・計測タグ・LPのどこに影響が残っているかを外部の目で確認したい方へ ― 現役の運用者が毎月見る項目を、実際の診断レポートのサンプル（無料）でご覧いただけます。

よくある質問

Q. LPは制作会社に作ってもらい、保守契約はありません。改ざんされたら誰に頼めばよいですか？

A. まず作った制作会社に、不承認理由に出た外部ドメイン名とSearch Consoleの検出内容を添えて相談します。保守契約がなければ有償のスポット対応になるのが普通で、見積りの段階で「掃除」「プラグイン・テーマの更新」「PHPを8.3以上へ」の3点が含まれているかを確かめます。制作会社と連絡が取れない場合は、ホスティング会社のサポートに改ざん対応のメニューがあるかを聞くのが次の手です。

Q. 不承認が出ましたが、サイトを見ても異常がありません。すぐ異議申し立てをしてよいですか？

A. 見た目に異常がなくても、Googleの巡回ロボットにだけ別の内容を返す改ざんがあります。異議申し立ての前に、不承認理由に外部ドメイン名が出ていないか、Search Consoleの「セキュリティの問題」が空か、セーフブラウジングのサイトステータスに掲載されていないかの3点を見てください。3点とも何もなく、サイト側にも心当たりがないなら「判断に異議あり」で申し立てる余地がありますが、1つでも出ていれば掃除が先です。

Q. LPの改ざんでGoogle広告が不承認になったら、何から始めますか？

A. 広告一覧のポリシーの詳細で、不承認理由に出ている外部ドメイン名を控えるところからです。続けてSearch Consoleの「セキュリティの問題」とセーフブラウジングのサイトステータスで自社ドメインを確かめ、控えたドメイン名と確認結果を添えて制作会社か保守先に掃除と更新を頼みます。異議申し立ては掃除が終わってから1回です。