WAFが「コードインジェクション」の攻撃をブロックしました。同じタイミングで私のもう一つのブログも全く同じ攻撃を受けました。
IPアドレスはどちらもシンガポールからのアクセスのように偽装されていました。