WordPressの脆弱性とは？狙われる理由と、今日からできる対策チェックリスト

WordPressの脆弱性とは

脆弱性とは、攻撃に使われるプログラムの弱点のことです。WordPress のサイトでは、次の 3 か所に脆弱性が見つかります。

• 本体（コア）：WordPress そのもの
• プラグイン：お問い合わせフォーム、SEO、スライダーなど、機能を足す部品
• テーマ：見た目を決める部品（テーマに同梱されたプラグインを含みます）

海外のセキュリティ会社 Patchstack の年次報告によると、2025 年に WordPress の周辺で見つかった脆弱性は 1 万件を超え、その約 9 割がプラグインでした。本体の脆弱性はごくわずかです。つまり、本体を更新していても、プラグインやテーマが古いままだと危ないということです。

また、WordPress を動かしているサーバーの PHP の脆弱性も見落とせません。2026 年 10 月に公表された PHP の重大な脆弱性では、公表からわずか 2 時間で数十万件の攻撃が観測されたと報じられました。

脆弱性を突かれると、何が起きるか

古いまま放置されやすい理由（点検でよく見つかるもの）

当社が WordPress のサイトを点検すると、次のようなものがよく見つかります。どれも、サイトを作った当時は問題がなかったものです。

• 制作会社に任せたきりで、更新する人が決まっていない
• 更新すると表示が崩れるのが怖くて、何年も止めている
• 有料のテーマやプラグインのライセンスが切れていて、更新が配信されない
• テーマに同梱されたプラグインに穴があり、テーマを更新しないと直らない
• 引っ越しやバックアップのために入れたプラグインが、使い終わっても残っている
• バックアップのファイル（データベースや設定ファイル入り）が公開された場所に置かれ、だれでもダウンロードできる
• 制作会社やサポート用の管理者アカウントが、作業のあとも残っている
• WordPress の外に置いた自作のフォームの設定ファイル（APIキー入り）が、外から読める

今日からできる対策チェックリスト

1. WordPress 本体・プラグイン・テーマを最新にする更新の前に、必ずバックアップを取ります（手順は下）。
2. 使っていないプラグイン・テーマは「削除」する無効化だけでは、ファイルがサーバーに残ります。
3. 管理者アカウントを棚卸しする退職した人、制作会社、サポート用など、今は要らない管理者を消すか、権限を下げます。
4. パスワードを長く、使い回さない。二段階認証を入れる管理者のパスワードが漏れると、どんな対策も意味がなくなります。
5. ログインの試行回数に上限を付けるパスワードを総当たりで試す攻撃を止めます。
6. PHP のバージョンを確かめるPHP 8.1 以前はサポートが終わっています。PHP 8.2 も 2026 年 12 月 31 日で終わります。
7. 公開された場所に、バックアップや古いファイルが残っていないか確かめるファイル名を推測されると、だれでもダウンロードできてしまいます。
8. 有料のテーマ・プラグインのライセンスを確かめるライセンスが切れていると、穴が見つかっても修正版が届きません。
9. サイトとは別の場所に、定期的にバックアップを取る同じサーバーの中だけでは、サーバーごと被害にあったときに戻せません。
10. 見覚えのない管理者・ファイル・ページがないか、ときどき見る検索結果に身に覚えのないページが出ていたら、改ざんを疑います。

安全に更新するための手順

「更新したら表示が崩れた」を防ぐには、本番の前に試すことが大切です。

1. サイトのファイルとデータベースのバックアップを取る
2. テスト環境（本番の写し）で更新し、表示とフォームを確かめる
3. 本番を更新する
4. 主なページ・お問い合わせフォーム・決済などを確かめる
5. 問題があれば、バックアップから戻す

自社での対応が難しいとき

開発会社と連絡が取れない、更新すると崩れる、改ざんされたかもしれない。そんなときは、まず安全性の無料診断をご利用ください。外から見える範囲（WordPress やプラグインのバージョン、既知の脆弱性、公開されているファイル）を確かめ、何から直すべきかをお伝えします。

詳しい診断は Webサイト（ホームページ）のセキュリティ診断・脆弱性診断（15万円〜）、更新や修正は既存システム改修（緊急の対応 10万円〜、WordPress のバージョンアップを含む更新 50万円〜）でお引き受けします。

安全性の無料診断を受ける

WordPressの脆弱性についてよくあるご質問