QA Assistants(旧QA Analytics)がエックスサーバーで停止している場合は、脆弱性への暫定措置が関係している可能性があります。
エックスサーバーは2026年11月9日、対象のプラグインを動かない状態にしたうえで、修正版への更新を案内しました。
再開するときは、フォルダの権限を戻す作業と、プラグインを更新する作業を一続きで進めます。旧版をそのまま有効化しないために、まず設置されている版と停止理由を確かめ、改ざんが疑われる場合は調査を先に進めましょう。
要点有効化を押す前に更新を終える
11月9日の公式案内では、影響版は5.3.0以前、修正版は5.3.0.2です。停止の解除だけで終えず、更新後のバージョンとサイトの状態を確かめてから再開します。
QA Assistantsの脆弱性で停止した理由と対象バージョン
QA Assistantsの今回の脆弱性は、第三者がログインせずに不正なファイルを置いたり、コードを実行したりするおそれがある問題です。エックスサーバーは「CVE-2026-87112」として注意を呼びかけ、同社のサービスでも悪用したとみられる攻撃を確認したと発表しています。
11月9日の告知で案内された対象と修正版
| 確認する項目 | 公式の案内 |
|---|---|
| 対象プラグイン | QA Assistants |
| 影響を受ける版 | 5.3.0以前 |
| 案内された修正版 | 5.3.0.2 |
| 停止のための権限 | 000 |
この停止措置は、対象版が設置されているサイトのプラグインフォルダ「qa-heatmap-analytics」に対して行われたものです。フォルダへアクセスする権限を制限することで、プラグインが動作しない状態にしています。
出典:エックスサーバー「【重要】WordPressプラグイン『QA Assistants』の脆弱性(CVE-2026-87112)に関する注意喚起について」
ただし、停止したという事実だけでは、自社サイトが乗っ取られたとは判断できません。対象への予防措置と実際の被害の確認は分け、まずは自社が使っている版とサーバーからの案内を照合します。
旧名称のQA Analyticsを使っている場合も確認する
QA Assistantsは旧名称がQA Analyticsなので、以前の名前で導入したままのサイトも確認が必要です。「QAアシスタンツ」という名前だけで探さず、管理画面の表示名、バージョン、実際のフォルダ名を管理担当者に伝えると照合しやすくなります。
一方、対象プラグインが設置されていないサイトで表示エラーが出ている場合は、今回の告知をそのまま原因に当てはめないでください。WordPress本体やサーバーの別の問題もあり得るため、エラーの内容と発生時刻から切り分けます。
QA Assistantsが停止しているかを確認する
QA Assistantsの状態は、WordPress管理画面の「プラグイン」→「インストール済みプラグイン」から確認します。表示できる場合は名称と版、停止状態を記録し、サーバー側の案内と同じ対象かを確かめましょう。
表示されない場合は設置先を管理者と照合する
権限が制限されている場合は管理画面だけで確認が進まないこともあるため、プラグインが見えない状態で再インストールを繰り返すのは避けます。管理担当者に対象ドメインと画面の状態を渡し、「qa-heatmap-analytics」が残っているかを確認してもらってください。
- 使っているサイトのURLと、対象プラグインの名称・バージョンを控える
- 停止に気づいた日時と、サーバーから届いた案内を記録する
- フォルダ権限が000か、元の設定が分かるかを管理担当者と照合する
- 更新前に保存するデータと、作業を担当する人を決める
「000」を戻す前に元の設定と作業内容をそろえる
パーミッションは、フォルダやファイルに誰がアクセスできるかを決める設定です。今回の「000」は停止のための暫定措置なので、戻す際は元の値を確認し、その後すぐ更新へ進めるよう準備します。
元の値が分からない場合は、別のサイトの数値をまねたり、サーバー全体の権限を一括で変えたりしないようにしましょう。対象フォルダと元の設定を管理担当者かエックスサーバーの窓口へ確認すれば、変更する範囲を絞れます。
補足管理画面のIDが分からないとき
前任者や制作会社が管理している場合は、まず契約先と連絡先を確認します。IDやパスワードを公開の問い合わせ欄や社内の共有文書へそのまま書かず、管理者が指定する方法で受け渡してください。
管理者自体が分からない場合は、前任者が辞めたホームページの引き継ぎ確認に沿って、サーバー契約と緊急連絡先から探すと、依頼先を決めやすくなります。
QA Assistantsを再開する前の更新手順
QA Assistantsを再開する作業は、現状の保存、更新の準備、権限の復元、最新版への更新、有効化後の確認の順に組み立てます。不審なファイルや覚えのない変更が見つかっている場合は、通常の更新を始める前に次の節の調査へ進んでください。
更新前にバックアップと作業記録を残す
更新前は、サイトのファイルとデータベースのバックアップが取れるかを確認します。既存のバックアップも保存日時を記録し、作業中に問題が起きた際に何を戻せるかを管理担当者と共有しましょう。
この保存は更新への備えですが、バックアップがあるだけで感染していないと証明できるわけではありません。不審な変更がある場合は、その痕跡も残したうえで調査を依頼し、どの時点のデータなら復元に使えるかを判断してもらいます。
権限を元に戻したら最新版への更新まで続ける
エックスサーバーのファイルマネージャは、XServerアカウントの「ご契約一覧>サーバー」の「ファイル管理」から利用できます。対象サイトの設置先を確認し、「パーミッション変更」の機能で該当フォルダの設定を扱う流れです。
この作業を管理者が行う場合は、対象フォルダの元の設定へ戻してから、WordPress管理画面でQA Assistantsを最新版へ更新します。ここでいう最新版は、2026年11月10日時点で公式に案内されている修正版の5.3.0.2です。
権限を戻すと旧版のファイルが再びアクセス可能になるため、権限だけ戻して、更新を翌日へ持ち越す進め方は避けます。先に担当者と更新方法を決め、権限の復元から更新完了までをまとめて進めてください。
もし更新エラーが出たら、表示されたエラーと作業時刻を控え、管理担当者かサーバーの窓口へ渡します。原因が分からないまま権限を広げ続けたり、別のフォルダまで変更したりする必要はありません。
更新後の版を確認してから有効化する
QA Assistantsの更新が終わったら、管理画面でバージョンが修正版になったことを確認してから有効化します。開発元も5.3.0.2の案内で、更新を先に行ってから有効化する順序を示しているので、更新前に有効化を押すのは避けましょう。
出典:QA Assistants「5.3.0.2アップデート -必ずプラグイン更新してください-」(2026年10月23日)
なお、この開発元の10月23日告知は保存型XSSへの対策(管理画面で不正なスクリプトが動く問題への対策)を説明したもので、11月9日のエックスサーバーの注意喚起とは公表時期と説明する内容が異なります。過去に更新した記憶だけで済ませず、いま設置されている版を見て判断しましょう。
この確認を終えて有効化した後は、通常のページ表示と管理画面、必要な解析機能の状態を確かめます。WordPress本体やPHPの更新は別の作業なので、PHPの脆弱性とWordPress更新の違いも押さえ、今回のプラグイン更新の代わりにしないようにしてください。
サイト改ざんが疑われる場合は調査を先にする
QA Assistantsの更新と、サイトに不正な変更がないかの調査は別々に確認する作業です。更新で脆弱性へ対応できても、それ以前に設置された不正なファイルが取り除かれたとまでは判断できません。
更新で確かめること
調査で確かめること
覚えのないユーザーや変更を記録する
不審な点があるときは、知らない管理者アカウント、書き換わったページ、不自然な転送、覚えのないファイルなどを、気づいた時刻とともに管理担当者へ伝えます。見つけたものをその場で削除する前に、調査に使うログやデータを残してもらいましょう。
WordPress公式の復旧資料も、起きたことの記録と、ホスティング会社への相談、バックアップの確保を案内しています。正常に見えるページだけで被害の有無を決めず、残っている記録を手がかりに対応を進める方法です。
出典:WordPress.org「FAQ My site was hacked」(英語)
注意不審な変更があれば再開を急がない
知らないファイルや管理者が見つかった場合は、一括削除や、原因未確認のままの上書き復元を先に行わないでください。サイトの保守担当者へ記録を渡し、公開を続けてよいかも含めて判断を依頼します。
異変の記録をどこから始めるか迷う場合は、ホームページの改ざんに気づいた時の対応で、最初に控える情報と連絡する相手を確認できます。
停止期間を記録し管理担当と共有する
QA Assistantsが停止している間は、同プラグインの計測を通常どおり続けられない期間として扱います。解析画面の数値が減っていても、停止期間の数字だけで集客が悪化したとは決めず、まず停止と再開の日時を記録しましょう。
更新の完了と計測の再開を別に記録する
その記録には、停止に気づいた日時、更新した版、再開確認の日時を残します。停止中に取得されなかったデータが後から自動で戻るとは公式に案内されていないため、過去のレポートと比べる際には計測条件の違いを添えてください。
別の解析サービスを併用している場合も、同じ期間・同じ指標かを確かめてから参照しましょう。訪問数とページ表示回数など異なる数字を足して欠けたデータを埋めると、社内へ誤った報告をしてしまいます。
依頼時は現在の状態と確認してほしいことを伝える
制作会社や保守担当者へは、対象URL、表示名と版、停止状態、通知内容、不審な変更の有無をまとめて渡します。「更新してください」だけで終えず、権限の復元から更新後の確認まで、どこを担当してもらうかを明確にする依頼です。
社内の担当者
対象URLと通知、気づいた日時を集める
保守の担当者
設置先・権限・更新・不審な変更を確認する
報告する内容
更新後の版と、再開を確認した日時を残す
依頼保守担当者へ伝える文面
「QA Assistantsの停止について、対象サイトのバージョンとフォルダ権限、バックアップの状態を確認してください。旧版を再開しない手順で更新し、不審な変更がないかの確認と、更新後の版・再開日時の報告をお願いします」と伝えられます。
今の契約でどこまで対応してもらえるか不明なら、ホームページ管理会社を変更する際の引き継ぎ事項にある管理範囲とアカウントの整理も参考になります。担当が変わっても今回の記録を残せば、次の担当者も対応済みの範囲を把握しやすくなるでしょう。
QA Assistantsの脆弱性についてよくある質問
QエックスサーバーでQA Assistantsが停止した理由は何ですか？
Aエックスサーバーは2026年11月9日、QA Assistantsの脆弱性への暫定措置として、対象版のフォルダ権限を000へ変更したと案内しています。自社の停止理由が同じかは、サーバーの案内と設置状況を照合してください。
Q脆弱性の対象となるQA Assistantsのバージョンはどれですか？
AQA Assistantsの影響版は、11月9日のエックスサーバー告知では5.3.0以前です。同告知の修正版は5.3.0.2で、2026年11月10日時点のWordPress.org掲載版も5.3.0.2です。
Q旧名称のQA Analyticsでも今回の脆弱性に関係しますか？
AQA AnalyticsはQA Assistantsの旧名称なので、古い名前で導入したサイトも設置状況を確認します。表示名だけで対象外と決めず、バージョンとフォルダ名を管理担当者に照合してもらってください。
Qフォルダ権限000を戻すだけでQA Assistantsを再開できますか？
AQA Assistantsは、権限を戻すだけで旧版のまま再開してはいけません。エックスサーバーの案内に従って元の設定へ戻したうえで最新版へ更新し、更新後の版を確認してから有効化します。
QWordPress本体を更新すればQA Assistantsの脆弱性も直りますか？
AQA Assistantsの脆弱性に対応するには、対象プラグイン自体の更新が必要です。WordPress本体やPHPの更新を行っても、QA Assistantsが旧版のままなら今回の更新対応を終えたことにはなりません。
Q停止したQA Assistantsのサイトは改ざんされていますか？
AQA Assistantsの停止だけでは、サイトが改ざんされているかは判断できません。知らない管理者、覚えのないファイルやページ変更などを記録し、不審な点があれば削除や復元を先に行わず保守担当者へ調査を依頼します。
Q停止中にQA Assistantsで計測されなかったデータは戻りますか？
AQA Assistantsの停止中に取得されなかったデータが、再開後に自動で戻るとは、公式には案内されていません。停止と再開の日時を残し、保存済みデータの状態を管理担当者や提供元に確認してください。
QA Assistantsは更新と確認を終えてから再開する
QA Assistantsの再開対応とは、設置状況を確かめ、修正版への更新と不審な変更の確認を経て利用を戻す作業です。まず自社の版と停止理由を控え、権限の復元だけを先に済ませず、更新後に何を確認するかまで担当者と決めましょう。
- 対象プラグインの版と停止理由を確認した
- 元の権限とバックアップを確認し、最新版への更新を終えた
- 不審な変更の確認と、再開日時の記録を残した
再開後も同じ確認を続けられるよう、ホームページの基本的なセキュリティ対策を参考に、更新の担当と連絡先を社内へ残しておくと管理を引き継ぎやすくなります。
弊社では、今回のような更新対応も含め、予算と管理したい範囲に合わせて進め方を調整しています。予算が決まっていない段階でも、現在の契約や担当範囲からご相談いただいて構いません。