背景

ある日、WordPressで作っているサイトにアクセスすると、突然表示されなくなりました。

ブラウザには「ERR_CONNECTION_REFUSED」。

SSHではサーバーに入れるのに、Webだけ死んでいる状態です。

最初はよくあるパターンで疑いました。

結論から言うと、どれも違いました。

原因は「サーバーのメモリ不足（OOM）」でした。

環境

ログを追うと、次の事実が分かりました。

つまり今回の原因は👇

xmlrpc.phpへの攻撃 → PHP処理増加 → メモリ枯渇 → Apache停止

WordPressのバグではなく、攻撃＋リソース不足の組み合わせでした。

systemctl status httpd

結果：failed / killed

→ 自発的ではなく外部要因で停止

journalctl -k

結果：httpd invoked oom-killer

→ メモリ不足確定

ps -ylC httpd --sort:rss

結果：

→ 一部の処理でメモリが膨張

grep xmlrpc.php access_log

結果：

→ 攻撃確定

systemctl start httpd

<Files "xmlrpc.php">
    Require all denied
</Files>

systemctl restart httpd

これでサイトは復旧し、攻撃も遮断できました。

今回のポイントは3つです。

この3つが重なると👇

少メモリ環境では簡単にOOMに到達します。

今回のようなケースは、WordPressの問題ではなくインフラの問題

より詳しい判断軸や、同じような障害で詰まらないための思考プロセスについては、noteでまとめています。

・なぜ最初にサーバーを疑うべきなのか
・xmlrpc攻撃の見分け方
・OOMの切り分け手順

気になる方は参考にしてみてください。