「WordPressは脆弱性が多い」は本当？弱点のありかと、対策の優先順位

「WordPressは脆弱性が多いから危ない、と聞いた」

「ニュースで脆弱性が見つかったと見たけれど、うちは大丈夫？」

こうしたご相談をよくいただきます。

先にお伝えすると、WordPressそのものが特別に危ないわけではありません。

弱点のほとんどはあとから追加するプラグインにあり、更新と整理を続けていれば、多くの攻撃は防げます。

■脆弱性とは

ひと言でいえば、プログラムに残っている「守りのすき間」です。

そこを突かれると、外から管理画面に入られたり、ページの中身を差し替えられたりします。

■弱点はどこにあるのか

海外のセキュリティ調査会社のまとめによると、2025年に見つかったWordPress関連の弱点は、9割ほどがプラグイン、残りの多くがテーマで、本体そのものの分はほんの数件でした。

「WordPressは危ない」と言われるときの正体は、大半がプラグインというわけです。

同じ報告では、公表された時点で修正版が出ていなかったものも半数近くあったとされています。

だからこそ、更新に加えて、入れるプラグインを見極めること、不要なものを片づけることが欠かせません。

■放っておくと起きること

・ページが書き換えられる、見た人が別のサイトに飛ばされる

・検索結果に、自社の名前で無関係なページが並ぶ

・管理画面に入れなくなる

・お問い合わせで預かった情報が漏れる

・知らないうちに、見た人へウイルスを配る側になる

やっかいなことに、どれも運営している側からは見えにくい被害です。

■ご自分のサイトの状態を確かめる

・管理画面の「更新」に、止まっているものがたまっていないか

・プラグインの詳細で、最後に更新された日が1年以上前のものがないか

・「ツール」→「サイトヘルス」で、注意が出ていないか

■対策の優先順位

効き目の大きい順に並べると、次のとおりです。

1. 本体、プラグイン、テーマを新しい版にする

見つかった弱点のほとんどは、新しい版で直ります。

2. 使っていないプラグインとテーマを消す

止めているだけでは、ファイルが残って弱点も残ることがあります。

3. 更新が止まったプラグインを入れ替える

直る見込みのないものは、同じ役割の別のものへ。

4. 管理画面のログインを守る

推測されやすいユーザー名を使わない、使い回していない長いパスワード、2段階認証、辞めた人のアカウントを残さない。

5. バックアップを何世代か残す

6. PHPのバージョンを見直す

7. サーバーのWAF（不正な通信を止める機能）を有効にする

ログイン画面のURLを変える対策もありますが、それだけで弱点がなくなるわけではありません。1〜4ができていることが前提です。

■すでに攻撃されているかもしれないとき

知らない管理者が増えている、見覚えのないファイルがある、といった場合は、慌ててファイルを消さないでください。

侵入の経路が追えなくなり、ふさがないまま再び入り込まれるおそれがあります。

■対策をまとめて任せたい方へ

乗っ取り・改ざんの復旧を手がけてきた経験から、どこが狙われやすいかを点検し、対策を行い、何をしたかをご報告するサービスをご用意しています。

WordPressの乗っ取りを防ぐ対策をします

https://coconala.com/services/4456347

すでに改ざんされている疑いがある場合は、こちらでお受けしています。

乗っ取り・改ざんのWordPressを復旧します

https://coconala.com/services/4455914