WordPressを使っていないサイトに、WordPressのログイン画面を探すアクセスが届いていました。2026年10月25日、公開したばかりのHAPPENの紹介サイトを確認し、秘密設定ファイルなどを探すアクセスも見つかりました。
今回注目したのは、アクセスの件数よりも、何を探しに来ているかという点です。使っていない機能や公開しない情報を探すアクセスを確認したため、HAPPENとRain AI Projectの公式サイトに保護を追加しました。Apple・Googleなどの正常な巡回を維持しながら、不要な探索先を拒否する対応です。
01 / ACCESS REVIEW
知られていないサイトにも、
探索アクセスは届く
HAPPENの紹介サイトについてCloudflareの管理画面でアクセス先を確認すると、次のようなURLが見つかりました。
/wp-login.php：このサイトでは使っていない、WordPressのログイン画面を探すURL。/.env：通常は公開しない秘密設定ファイルを探すURL。/.git/config：通常は公開しないバージョン管理情報を探すURL。
HAPPENの紹介サイトはWordPressやPHPで動かしていません。それでもWordPress向けのURLが探されていたことから、サイトの実際の構成を確かめずに広く探索している可能性があります。これはアクセス先からの推測であり、アクセス元の意図をすべて特定できたわけではありません。
件数は参考情報として、確認時点から過去24時間の合計が758リクエストでした。平均すると1時間に約32件で、この数字だけでは異常な多さとは判断できません。画像やJavaScriptの取得、正常な巡回、私たちの動作確認も含み、人数やページビューとは異なります。/wp-login.phpへの18件のうち2件は私たち自身の動作確認です。いずれもHAPPENの集計で、RAINサイトの件数ではありません。
これらのURLは、対策追加前の確認でも404を返していました。今回確認したアクセス記録だけでは、侵入や情報漏えいが起きたことを示しません。また、この集計だけから特定の脆弱性の悪用や、他社の障害との関連は判断していません。
02 / WHAT WE CHANGED
使わない探索先を、
明示的に拒否する
HAPPENに加え、Rain AI Projectの公式サイトにも、同じ考え方の保護を追加しました。WordPressの管理・内部ディレクトリ、PHP関連ファイル、秘密設定やバージョン管理情報を探すURLを、ページ配信の前段で拒否します。
対象のリクエストには403（アクセス拒否）を返し、検索に登録しないための指定も付けています。大文字・小文字やURLの一部を符号化した表記も検査対象です。サイトに存在しないURLへの404応答に加え、不要な探索先をルールとして明確にした対応です。
変更はGitHubで管理し、自動公開の仕組みを通して反映しました。公開後にも、探索URLの拒否と、通常ページの取得を確認しています。RAINでは既存機能を含む66件のテストを通し、相談チャットAPIへのアクセスも維持しました。
このルールは、既知の不要な探索先を拒否するためのものです。攻撃者がリクエストを送ること自体を止めたり、すべての不正アクセスを判別したりする機能ではありません。
03 / KEEP DISCOVERY OPEN
正常な巡回まで、
一緒に止めない
アクセス元が海外だから、あるいは自動アクセスだからという理由で、一括して遮断することはしていません。検索エンジンなどの正当な巡回も、海外の拠点から届くためです。
今回確認したApplebotを名乗るアクセスの一部は、送信元IPの逆引きと正引きを照合し、Appleの公開する確認方法に沿って送信元を確認できました。一方、巡回名は偽装できるため、「Googlebotと名乗れば無条件に通す」という例外は作っていません。
公開ページ、robots.txt、sitemap.xml、画像、CSS、JavaScriptは引き続き取得できます。Apple・Googleの巡回名を付けたテストでも通常ページが取得できることを確認しました。これはルールの動作確認であり、設定後に実際の各社クローラーが再訪したことまで確認したものではありません。
04 / SECURITY UPDATES
PHPを使わない開発でも、
基盤の更新は必要です
同じ日に、HAPPENの開発・検証環境で使うNode.jsの更新対応も行いました。対象は、Node.jsに含まれるBrotliという圧縮データの解凍処理に関する脆弱性（CVE-2026-111497）です。
Node.jsの公式発表では、細工された圧縮データをアプリケーションが解凍する条件で、メモリ破損やコード実行などにつながり得るとされています。HTTP/2全体の欠陥という説明ではなく、実際の対象である解凍処理と利用条件を確認する必要があります。
HAPPENでは、GitHub Actionsの自動テストで使うNode.jsを修正版の24.22.1に固定し、古い24系のバージョンで検証を進めないチェックを追加しました。これは自動テスト環境への対応です。配信サービスの本番実行環境や、外部ツールの内部まで一括して修正済みと確認したものではありません。
また、先ほどの探索URLの拒否ルールは、Brotliの脆弱性を修正するパッチではありません。不要なアクセス先の制限と、利用するソフトウェアの更新は、それぞれ必要な対策として進めています。
05 / AFTER LAUNCH
作って公開した後も、
確認と更新を続ける
アクセス数そのものよりも、何を探しに来ているのか、何を返しているのかを見ることが大切だと感じます。まだ知名度のないサイトでも、自動的な探索から無縁ではありません。
Rain AI Projectでは、今回の確認を受けてHAPPENと公式サイトの保護を追加しました。今後も、アクセスの傾向とセキュリティ更新を確認し、必要な対応を続けます。「一度設定したから万全」とするのではなく、公開後の運用まで含めてサイトを育てていきます。
Web制作についてはLP制作の案内、運営方針についてはプライバシーポリシーをご覧ください。
出典・確認範囲
公開日・情報確認日：2026年10月25日。アクセス数は当社が管理するHAPPENのCloudflare集計と動作確認記録に基づきます。個別のIPアドレスや非公開の管理画面は掲載していません。