WordPress の脆弱性チェック｜古いプラグインが狙われる理由と対策

WordPress の脆弱性は、なぜ狙われるのか

WordPress は、世界のホームページの 39.3% で使われています（W3Techs、2026年11月11日時点）。使っているサイトが多いので、弱点を1つ見つければ、同じ弱点を持つサイトをまとめて攻撃できます。会社の大きさや知名度は関係なく、プログラムが自動で手当たり次第に試しています。

弱点が見つかる場所も、はっきり偏っています。WordPress の安全を調べている Patchstack の報告では、2025年に見つかった 11,334 件のうち、91% がプラグイン、9% がテーマでした。WordPress 本体は 6 件で、どれも重大ではないものでした。

もう1つ大事なのは速さです。同じ報告によると、激しく狙われた弱点では、公表から攻撃が始まるまでの時間は中央値で 5 時間でした。「来月まとめて更新する」では間に合わないことがあります。

同じ報告では、公表の時点で作者の修正が間に合っていなかった弱点が 46% ありました。「更新があります」と出ていないことは、弱点がないことの保証にはなりません。

自分の WordPress が危ないか、管理画面でチェックする方法

制作会社が何年も前に作ったサイトでも、管理画面に入れれば、版（バージョン）は自分で確かめられます。ログインの情報がなければ、まず制作会社に頼んでください。

1. 1

   管理画面に入る

   ホームページのアドレスの後ろに /wp-admin を付けて開き、ログインします。

2. 2

   「ダッシュボード → 更新」を開く

   WordPress 本体・プラグイン・テーマについて、新しい版が出ているものが並びます。何も出ていなければ、最新の版だと書かれています。

3. 3

   「プラグイン → インストール済みプラグイン」を開く

   入っているプラグインの一覧です。それぞれの下に今の版が書いてあり、新しい版があるものには知らせの帯が出ます。「無効」のまま置いてあるものも数えてください。

4. 4

   「ツール → サイトヘルス」を開く

   「ステータス」には、直した方がよい点が重要な順に出ます。「情報」には、WordPress の版、使っているテーマ、有効・無効のプラグイン、サーバーの情報がまとまっています。コピーのボタンを押せば、内容をそのまま制作会社に送れます。

5. 5

   「ユーザー → ユーザー一覧」を開く

   「管理者」をしぼって見ます。知らない名前、辞めた人、制作会社の古い担当者が残っていないかを確かめます。

「更新があります」の意味：新しい版が出ている、という知らせです。新しい版には、見つかった弱点の修正が入っていることがよくあります。出たまま放っておくと、直し方が公開されている弱点を、開けたままにしていることになります。

放置されたプラグイン：作者が更新をやめたプラグインには、弱点が見つかっても修正版が出ません。当然、更新の知らせも出ません。WordPress.org でプラグインの名前を検索し、ページの上に「直近3回のメジャーリリースでテストされていない」という意味の警告が出ていたら、手入れが止まっているおそれがあります。「閉鎖されており、ダウンロードできない」という意味の表示なら、別のものへの入れ替えを考える時です。

WordPress 本体も同じです。公式に手入れが続くのは、いちばん新しい系列だけです。古い版にも安全のための修正が届くことはありますが、公式には「約束ではない」とされています。

今日できる WordPress のセキュリティ対策チェックリスト

上から順に進めれば、1〜2時間ほどで終わります。更新で表示が崩れるのが心配なときは、先に4番のバックアップを取ってください。

1. 1

   更新する

   「ダッシュボード → 更新」で、プラグイン、テーマ、本体をすべて新しい版にします。終わったら、トップページ・問い合わせフォーム・買い物の流れが動くかを見ます。

2. 2

   使っていないプラグインとテーマを消す

   「無効」にしただけでは、ファイルはサーバーに残ります。使わないものは「削除」まで行います。テーマは、今使っているものと、予備の標準テーマ1つを残せば足ります。

3. 3

   管理者を見直す

   管理者は必要な人だけにします。記事を書くだけの人は「編集者」や「投稿者」に下げます。admin のような当てやすい名前は避け、パスワードは長く、ほかのサービスと同じものを使いません。

4. 4

   バックアップを取る

   ファイルとデータベースの両方が必要です。レンタルサーバーの「自動バックアップ」が入っているか、何日分残るか、自分で戻せるかを、契約のページで確かめます。

5. 5

   2段階のログインにする

   パスワードに加えて、スマホに出る数字を入れる方式（2段階認証）です。プラグインで足すか、レンタルサーバーの機能を使います。パスワードが漏れても、それだけでは入れなくなります。

6. 6

   自動更新を入れる

   「プラグイン」の一覧の右の列にある「自動更新を有効化」を押します。テーマは「外観 → テーマ」でテーマを押した画面にあります。WordPress 5.5 から使える機能で、1日2回、新しい版を調べます。

ここまで済めば、古い版の弱点を手当たり次第に探す攻撃に対して、ずっと狙われにくくなります。高い道具を買う前に、この6つが先です。

外からの脆弱性診断で分かること・中からでないと分からないこと

外から見る方法と、中から見る方法では、分かることが違います。

Security Ready の精密診断は、外からの自動の診断です。上の表の「外からの診断」の列を調べ、結果を直し方と一緒に届けます。初回は1社1台1回無料で、お支払い情報は要りません。プラグインの版まで中から見たい場合は、スタンダードの内部診断に WordPress 用のプラグインがあり、プラグインとテーマの名前と版だけを送って、既知の弱点と照らし合わせます。

どちらの方法でも、何も見つからないことは、安全の保証ではありません。まだ公表されていない弱点や、ログインした後の画面の深い問題は、自動の診断では見つけられません。乗っ取られた後の復旧や、不正なプログラムの駆除も、当サービスでは行いません。

診断の種類そのものを知りたい方は、脆弱性診断とは にまとめています。

制作会社に何を聞けばよいか（そのまま使える依頼文）

「作って終わり」の契約では、更新がだれの仕事でもないまま、何年も過ぎていることがあります。今の状態と、これからの担当を決めるために聞きます。下の文は、そのままメールに貼って使えます。

• いつもお世話になっております。当社のホームページ（WordPress）の安全の点検をしています。次の点を教えてください。
• 1. WordPress 本体・プラグイン・テーマの、今の版の一覧（「ツール → サイトヘルス → 情報」の内容で構いません）
• 2. 最後に更新した日と、更新は今どなたの担当になっているか
• 3. 作者の更新が止まっている、または配布が終わっているプラグインがあるか
• 4. バックアップの有無、取る間隔、戻す手順
• 5. 管理者のアカウントの一覧と、御社で使っているアカウント
• 6. 毎月の更新をお願いする場合の費用

WordPress の脆弱性チェックは、どのくらいの頻度で必要か

激しく狙われる弱点では、公表から攻撃まで数時間です。年1回の点検だけでは、その間が空いてしまいます。人がやることと、自動に任せることを分けるのが現実的です。

Security Ready を続けて使う場合は、週に1回の診断に加えて、新しく公表された弱点とサーバーのソフトの照合を1日2回行います。月2,980円（税抜）からです。

すでに乗っ取られているかもしれないサイン

更新が何年も止まっていたサイトでは、すでに入られていないかを先に見ます。次のうち1つでも当てはまれば、点検より先に対処です。

• 検索結果に、身に覚えのない文字や外国語のページが、自社のサイトとして出てくる
• スマホで開いたときだけ、別のサイトに飛ばされる
• 「ユーザー一覧」に、知らない管理者がいる
• 入れた覚えのないプラグインやファイルがある
• サーバーの会社や Google から、警告のメールが届いた

確かめ方と、最初にやることの順番は、ホームページが乗っ取られた？改ざんの確かめ方と対処法 に書いています。WordPress 以外の基本（証明書・なりすましメール対策など）は、登録なしの 30秒かんたんチェック で見られます。