WordPressのセキュリティリスクと防ぎ方

WordPressのセキュリティリスクとは、WordPressで作ったホームページが、本体・プラグイン・テーマ・PHP・管理画面のどれかの脆弱性（ソフトウェアのセキュリティ上の欠陥）を突かれ、改ざんや情報の持ち出しを受けるおそれのことで、狙われる脆弱性の91%はプラグインにあります（Patchstack、2025年に見つかった11,334件の集計）^[1]。WordPressそのものが危険なわけではありません。部品が多く、そのどれか1つでも更新が止まると、そこが入口になります。

WordPressは世界のWebサイトの39.6%で使われ、CMS（ホームページを更新するための仕組み）を判別できた日本語サイトでは82.9%を占めます（W3Techs、2026年10月24日時点）^[4][5]。使う会社が多いほど、攻撃する側にとっては1つの手口で狙える相手が増えます。

WordPressで狙われる5つの場所

WordPressで狙われるのは、本体・プラグイン・テーマ・PHP・管理画面の5か所で、更新を担う人はそれぞれ違います。

WordPress関連の脆弱性の大半はプラグインにあります。セキュリティ会社Patchstackの年次報告によると、2025年に新たに見つかったWordPress関連の脆弱性は11,334件で、前年より42%増えました。内訳はプラグインが91%、テーマが9%で、本体は6件にとどまり、いずれも優先度は低いものでした^[1]。

Patchstackの11,334件という数字は、同社が自社の調査をもとにまとめたもので、セキュリティ製品を売る立場の資料である点は差し引いて読んでください。それでも、2025年の本体の脆弱性は6件で、プラグインに集中するという傾向は数字に表れています^[1]。

プラグインが入口になる2つの理由

WordPressのプラグインが入口になるのは、公表の時点で修正版がない脆弱性が46%あり、悪用の多い脆弱性では防御ルールの配布から約5時間で攻撃が始まるためです（Patchstack、2025年の集計）^[1]。

1つ目の理由は修正の遅れです。プラグインの多くは個人や小さな会社が作っています。サイト側でいくら更新を心がけても、修正版がなければ適用できません。

2つ目の理由は悪用の速さです。悪用が特に多かった脆弱性では、Patchstackが防御ルールを配布してから最初の攻撃の試みが観測されるまでの時間が、悪用の多さで重み付けした中央値で5時間でした^[1]。影響の大きい脆弱性の約半数は公表から24時間以内に悪用されており、特に狙われるものは数時間で攻撃が始まっています^[1]。週に1度、担当者が管理画面を開いて更新ボタンを押す運用では、この速さに追いつけません。

問い合わせフォーム、スパム対策、SEO、バックアップ、表示の高速化と、用途ごとに1本ずつ入れていくと、プラグインの本数は増えていきます。その1本ずつに、作者の更新が続いているか、修正版が出ているかを確かめる作業が付いてきます。

WordPress本体の脆弱性は2026年に2回悪用されました

WordPress本体では2026年7月のwp2shellに続いて、9月にも遠隔でプログラムを実行される脆弱性（CVE-2026-87902）が修正され、どちらも米国CISAの悪用確認済みの一覧に載りました^[2][15]。本体の脆弱性は件数こそ少ないものの、該当するバージョンを使っているサイトすべてが対象になります。

2026年7月には、WordPress本体の脆弱性2件（CVE-2026-60137、CVE-2026-63030、通称wp2shell）が修正されました。独立行政法人情報処理推進機構（IPA）の注意喚起によると、影響を受けたのは6.9.0〜6.9.4と7.0.0〜7.0.1などで、標準の構成のまま、管理者の権限がなくても攻撃されうるものでした^[2]。米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は7月21日（現地時間）、この脆弱性を、悪用が確認された脆弱性の一覧であるKEVカタログ（Known Exploited Vulnerabilities Catalog）に載せました。攻撃を再現するコードも公開されていました^[2]。

2026年10月24日時点のWordPressの最新版は、7件のセキュリティ修正を含む7.1.3です^[16]。7.0.2や6.9.5のままでは、9月以降の修正が入っていません^[14][16]。

WordPress.orgは7月に強制的な自動更新をかけましたが、IPAは環境によっては適用されていない可能性があるとして、管理画面でバージョンを確かめるよう求めました^[2]。本体の自動更新は設定ファイルの記述や、サーバー会社の管理ツールで止められていることがあります^[12]。「自動更新にしてあるから大丈夫」という前提のままだと、確認が漏れます。

WordPressのサイトに入り込まれると何が起きるか

WordPressのサイトに入り込まれると、外から見えない形でのリンクの埋め込みなどの改ざんや、問い合わせフォームに入力された顧客情報の持ち出しが起き、自社だけでなく利用者にも被害が及びます^[10][11]。

JPCERTコーディネーションセンター（JPCERT/CC、国内のセキュリティ事故の報告を受け付ける組織）が2026年7〜9月の3か月に扱ったWebサイト改ざんのインシデントは603件でした。前の3か月は181件で、月別では7月116件、8月194件、9月293件と増え続けています^[10]。報告に載った事例の1つは、国内の複数の正規のサイトに、海外のオンラインカジノへのリンクを含むHTMLが、見えない形で5,000行以上埋め込まれていたというものです^[10]。

見た目は普段どおりなので、社長も担当者も気づきにくくなります。外から指摘されて初めて分かることがあります。

JPCERT/CCの603件はWordPressに限った数ではなく、使われていた仕組みの内訳も示されていません^[10]。それでも、会社のホームページが改ざんの対象になっていること、その報告が3か月で3倍余りに増えたことは読み取れます。

IPAの「中小企業の情報セキュリティ対策ガイドライン」は、ウェブサイトは誰でもアクセスできるため、攻撃の対象になりやすいとしています。顧客情報の漏えいや不正サイトへの誘導によって、利用者にも被害が出ることを懸念点に挙げています^[11]。問い合わせフォームに入力されたお客様の氏名や連絡先も、持ち出しの対象になりえます。

WordPressを守るために続ける作業

WordPressのセキュリティ対策は、新しく何かを入れることより、更新を止めないことが中心です。IPAの「情報セキュリティ10大脅威 2026」解説書［組織編］は、脆弱性への対策として、セキュリティのサポートが充実したソフトウェアやバージョンを使うことを挙げています^[3]。別の章では使っている製品のサポート期限を把握し、切れる前に移行計画を立てるよう求めています^[3]。

プラグインとテーマの自動更新は、WordPress 5.5から1本ずつ有効にできるようになりました。ただし既定では無効で、公式文書は、有効にする前に問題が起きたとき元に戻せる状態を用意しておくよう勧めています^[8]。自動更新を全部オンにすれば作業がなくなる、というわけではありません。更新でフォームが動かなくなった場合に、気づいて直す人が要ります。

WordPressの更新作業を外部に委託する方法が、制作会社や保守会社との保守契約です。委託しても、責任は自社に残ります。IPAのガイドラインは業務の一部を外部に委託する場合、委託先でも少なくとも自社と同等の対策が行われるようにしなければならないとしています^[11]。保守契約を結んでいるなら、契約書に「プラグインの更新」「PHPのバージョンアップ」「更新後の表示確認」がそれぞれ含まれているかを見てください。何が含まれるかは契約ごとに違います。

社内に担当者がいれば、WordPressの更新は内製でもできます。内製する場合は、本業の合間に更新の情報を毎週追う時間を、担当者に確保する必要があります。

更新を続ける人手がないときのWordPressの選択肢

WordPressの更新を続ける人手や費用を確保できない会社の選択肢は、使っていないプラグインを削除して部品を減らすか、PHPもプラグインも使わない静的なHTMLの作りに移すかの2つです。

IPAは2026年10月のPHPの注意喚起で、更新を続ける人員や予算、保守の体制を確保できない場合には、保守を受けられる製品への移行、機能の縮小、公開の終了やシステムの廃止も含めて検討するよう求めています^[6]。AX総合研究所は、ホームページでの機能の縮小にあたるのが、使っていないプラグインの削除だと考えます。入っているだけで使われていないプラグインも、更新を怠れば入口になります。PHP2shellの中身と、委託先に確かめることはPHP2shellとは？自社サイトの確認と対処にまとめました。

WordPressから離れる方法として、PHPもデータベースも管理画面も持たない作りに移す方法があります。ページをあらかじめHTMLのファイルとして作っておき、それを配信するだけのホームページです。表1の5か所のうち、本体・プラグイン・テーマ・PHPはサーバーからなくなり、WordPressの管理画面もなくなります。配信サービスや編集用のサービスのログインは残るので、パスワードと権限の管理は続けます。会社案内、サービス紹介、お知らせで構成されたホームページが、この作りに移せる対象です。お問い合わせフォームは送信を受け取る仕組みを別に用意し、ページの修正は依頼先に頼むか、編集用のサービスを組み合わせます。

AX総合研究所は静的なHTMLへの移行を中小企業向けに提案しています。移行先は静的なファイルを無料プランでも無料・無制限で配信する米Cloudflare社の配信サービス（Cloudflare Pages）です。静的なファイルの配信は無料プランの範囲に収まるため、ホームページのサーバー代は毎月かかりません^[13]。編集用のサービスを使う場合は、そのサービスの利用料が別にかかることがあります。

作業の範囲と進め方はWordPressからの移行のサービス紹介にまとめています。

まとめ

自社のWordPressで確かめることは3つです。

1. 管理画面の「プラグイン」で、本数・最後に更新された時期・使っていないものを確かめる（半年以上更新のないものは作者の更新が止まっている可能性があります）
2. 本体が最新版（2026年10月24日時点で7.1.3）かを確かめる
3. PHPのバージョンがサポート期限内（8.2は2026年12月31日まで）かを確かめる

PHPの確かめ方とサポート期限の一覧は、PHPの脆弱性2026とサポート終了版の確認にまとめています。

プラグイン・本体・PHPの確認を毎月続けるのが難しいと感じたら、作りを変える時期です。無料相談からホームページのアドレスを送っていただければ、PHPを使わない作りに移せるかどうかと、2つの料金のどちらに当たるかをお返事します。AX総合研究所の事業内容は会社概要をご覧ください。

※件数・割合・料金は2026年10月24日時点の情報です。各社の調査や料金は更新される場合があります。