WordPressの脆弱性とは｜最新情報・原因・確認方法・セキュリティ対策【2026年最新】

WordPress
保守管理・運用

最終更新日：2026年09月30日

この記事の監修者

齊藤真也

株式会社ファーストネットジャパン代表取締役

1998 年創業時からアプリ開発・Web マーケティング・フルリモート SES・ホームページ制作・翻訳・グラフィックデザインなど幅広い IT／クリエイティブ領域を手がけ、4,000 件超のプロジェクトを統括。セキュリティ対策・SEO・システム開発から中小企業のWeb戦略支援まで、技術とデザインの両面でクライアントの課題解決を27年以上にわたり支援してきた。
大阪本社・東京オフィスの2拠点体制で、全国の企業のデジタル化をサポート。
高松市出身。座右の銘は「圧倒的努力」。

WordPressの脆弱性について調べていると、「WordPressは危険なのではないか」「他のCMSよりハッキングされやすいのではないか」と不安になる方もいるでしょう。

結論から言えば、WordPressそのものが特別に危険なCMSというわけではありません。WordPressは世界中で非常に多く利用されているため攻撃対象になりやすく、プラグインやテーマを含めた脆弱性情報も多く公開されています。しかし、WordPress本体・プラグイン・テーマの更新、バックアップ、不正ログイン対策、改ざん監視などを継続していれば、必要以上に恐れる必要はありません。

むしろ注意したいのは、WordPressを公開した後に「誰が、どのように管理し続けるのか」が決まっていないケースです。担当者が本業の片手間で管理し、数年間アップデートされていないサイトでは、既知の脆弱性が残り、不正アクセスや改ざんのリスクが高まります。

この記事では、WordPressの最新脆弱性情報を確認したうえで、脆弱性が起こる原因、確認方法、企業サイトで実施したいセキュリティ対策、脆弱性診断、そして安心して運用するための制作会社・保守会社の選び方まで解説します。

ホームページの保守・管理にお困りではありませんか？

ファーストネットジャパンでは、1998年の創業以来、4,000件を超える実績で培った知見をもとに、ホームページの更新・保守・セキュリティ対応から、他社で制作されたサイトの引き継ぎ・乗り換えまで総合的にサポートします。
連絡が取れない、放置してしまっているサイトのご相談も承ります。まずはお気軽にお問い合わせください。

ホームページの保守・乗り換えをご検討なら

WordPressの最新脆弱性情報【2026年9月】

WordPressの脆弱性を考える際は、「WordPressは危険か」という漠然とした不安ではなく、現在使用しているバージョンにどのような脆弱性が報告され、修正版へ更新できているかを確認することが重要です。

2026年9月22日にはWordPress 7.1.2が公開され、重大度「Critical」に分類されるセキュリティ上の問題が修正されました。WordPress.orgはセキュリティリリースとして、対象サイトを速やかに更新するよう案内しています。

時期	主な動き	運営者が確認したいこと
2026年9月22日	WordPress 7.1.2公開。重大度Criticalのセキュリティ修正を含む	現在のWordPressバージョンを確認し、必要に応じて更新する
2026年9月17日	WordPress 7.1.1公開。11件のセキュリティ修正を含む	古いバージョンのまま運用していないか確認する
2026年7月	wp2shellと呼ばれる脆弱性についてIPAが注意喚起	修正版へ更新済みか、自動更新が正常に完了しているか確認する

2026年7月には、複数の脆弱性を組み合わせることで遠隔からコードを実行される可能性がある「wp2shell」について、IPAからも注意喚起が行われました。影響を受けるサイトでは更新が推奨され、自動更新が有効でも更新に失敗していないか確認することが案内されています。

重要なのは、こうした脆弱性が見つかったことを理由にWordPressそのものを恐れることではありません。脆弱性が修正されたときに、適切なタイミングで更新できる管理体制を持つことが重要です。

最新情報は、WordPress.orgのセキュリティ情報や、IPAのWordPress脆弱性対策情報など、公式・公的な情報源を確認するとよいでしょう。

WordPressの脆弱性とは

WordPressの脆弱性とは、WordPress本体やプラグイン、テーマなどに存在する、第三者からの攻撃に悪用される可能性があるセキュリティ上の弱点を指します。

脆弱性が存在すると、条件によっては不正ログイン、データの書き換え、情報の取得、悪意のあるプログラムの設置などにつながる可能性があります。

ただし、「脆弱性が発見された」というニュースを見ただけで、すぐに自社サイトが危険な状態だと判断する必要はありません。重要なのは、自社で使用しているWordPress・プラグイン・テーマが対象なのか、修正版が提供されているのか、適切に更新されているのかを確認することです。

WordPress本体の脆弱性

WordPress本体にも脆弱性が見つかることがあります。その場合、WordPressのセキュリティチームなどによって修正版が公開されます。

脆弱性が見つかった際に修正版が継続して提供されていること自体は、オープンソースCMSを安全に運用するための重要な仕組みです。

問題になるのは、修正版が提供されているにもかかわらず、古いバージョンを長期間使用し続けることです。

プラグインの脆弱性

WordPressでは、問い合わせフォーム、SEO、バックアップ、EC、予約などさまざまな機能をプラグインで追加できます。

一方、プラグインはWordPress本体とは別にさまざまな開発者・企業によって提供されているため、品質や更新頻度も異なります。長期間アップデートされていないプラグインや、開発が終了したプラグインを使い続けることはリスクになります。

「使っていないが削除せず残している」というプラグインも定期的に整理することが大切です。

テーマの脆弱性

WordPressテーマにも脆弱性が発見されることがあります。現在使用しているテーマだけでなく、以前使っていた不要なテーマをサーバー上に残し続けることも避けた方がよいでしょう。

有料テーマについても、正規の提供元以外から入手したファイルを利用するのは避けるべきです。テーマやプラグインは、信頼できる配布元から入手することが基本です。

WordPressは脆弱性が高く危険なCMSなのか

「WordPressは脆弱性が多いから危険」と言われることがありますが、これは少し単純化しすぎた見方です。

WordPressは世界中の非常に多くのWebサイトで利用されています。利用者が多いということは、攻撃者から見ても攻撃対象を探しやすく、セキュリティ研究者からも多く検証されるということです。

そのため、WordPress関連の脆弱性情報が頻繁に目に入るからといって、「WordPressだから危険」と考える必要はありません。

脆弱性が公表されること自体は悪いことではない

ソフトウェアに脆弱性が発見されること自体はWordPressに限った話ではありません。OS、ブラウザ、サーバーソフトウェア、CMS、各種クラウドサービスなど、日常的に利用されているソフトウェアでも脆弱性は発見されています。

大切なのは、問題が発見されたあとに修正され、その修正版を利用者側が適切に適用することです。

WordPressでは必要に応じてセキュリティアップデートが提供されています。そのため、最新情報を確認しながら適切に保守できる体制を整えることが重要です。

本当に注意すべきなのは「WordPressの放置」

WordPressサイトで問題が起こりやすいのは、WordPressを使っていること自体ではなく、公開後の管理が止まっているケースです。

WordPress本体を何年も更新していない
プラグインが古いままになっている
開発が終了したプラグインを利用している
管理者パスワードを長期間変更していない
退職した担当者のアカウントが残っている
バックアップを取得していない
サイトが改ざんされても気づける仕組みがない

このような状態では、すでに対策方法が知られている脆弱性が残ったままになる可能性があります。

したがって企業が考えるべきなのは「WordPressを使うかどうか」よりも、WordPressを安全な状態に維持できる運用体制を用意できるかです。

自分だけでWordPressを管理すると危険なのか

WordPressを自社で管理すること自体に問題があるわけではありません。社内にWordPressやサーバー、セキュリティについて知識を持つ担当者がいて、定期的に管理できるのであれば、自社運用も可能です。

一方で、中小企業ではWeb担当者が広報、営業、採用、総務などを兼任していることも少なくありません。その場合、日常業務が優先され、WordPressの更新が数か月単位で後回しになることがあります。

特に注意したいのが、管理画面に「更新してください」と表示されたからといって、本番サイトでいきなり更新するケースです。

プラグインやテーマの組み合わせによっては、更新後にレイアウトが崩れたり、フォームが動作しなくなったりすることがあります。そのため本来は、バックアップ→テスト環境で更新→動作確認→本番反映という手順が安全です。

自己管理で問題になりやすいのは技術そのものより、こうした作業を継続する時間と体制を確保できないことです。

更新・監視が長期間行われなければ、不正アクセスやサイト改ざんなどのリスクも高まります。企業サイトの場合は、担当者個人に管理を任せ切るのではなく、社内または外部の制作会社を含めて継続管理できる体制を作ることをおすすめします。

WordPressの脆弱性はなぜ起こる？主な原因5つ

1. WordPress本体を更新していない

WordPressには定期的にアップデートが提供されます。機能追加だけではなく、セキュリティ修正が含まれることもあるため、古いバージョンを長期間使い続けないことが重要です。

2. プラグイン・テーマを更新していない

WordPress本体だけを更新していても、古いプラグインやテーマが残っていれば安全とはいえません。

WordPressサイトを保守するときは、本体・テーマ・プラグインをひとつの環境として管理する必要があります。

3. 不要なプラグインを大量に入れている

プラグインの数が多いほど必ず危険になるわけではありませんが、管理対象は増えます。

何のために使っているのか分からないプラグイン、停止したまま何年も残っているプラグイン、同じ機能を持つ複数のプラグインなどは定期的に整理しましょう。

4. 管理者アカウントの管理が甘い

推測されやすいパスワードや、複数人で同じ管理者アカウントを共有する運用は避けるべきです。

誰が管理画面へアクセスできるのかを明確にし、退職者や外部スタッフなど不要になったアカウントは削除します。

5. サーバーやPHPが古い

WordPressだけを最新にしても、PHPやサーバー環境が古いままでは十分とはいえません。

WordPress・プラグイン・テーマとの互換性を確認しながら、サーバー環境も適切な状態に保つ必要があります。

WordPressで実施したいセキュリティ対策10選

対策	主な目的
WordPress本体の更新	既知の脆弱性を修正する
プラグイン・テーマの更新	拡張機能に残る弱点を減らす
不要なプラグイン・テーマの削除	管理対象と攻撃対象を減らす
強固なパスワード	不正ログインを防止する
二段階認証	認証情報漏洩時の侵入リスクを抑える
ログイン試行制限	総当たり攻撃などを抑制する
WAFの利用	Webアプリケーションへの攻撃を検知・遮断する
定期バックアップ	障害・改ざん発生時に復旧できる状態を作る
改ざん・異常監視	問題を早期に発見する
テスト環境での更新確認	アップデートによる障害を防ぐ

1. WordPress本体を適切に更新する

セキュリティリリースが公開された場合は内容を確認し、必要な更新を行います。ただし企業サイトでは、更新前にバックアップと互換性確認を行うことが重要です。

2. プラグイン・テーマを更新する

WordPress本体だけでなく、使用しているすべてのプラグイン・テーマの更新状況を確認します。

3. 不要なプラグイン・テーマを削除する

使用していないものを残さず、管理対象を整理します。新しいプラグインを追加する際も、更新履歴や提供元を確認しましょう。

4. 強固なパスワードを設定する

管理者パスワードは他サービスとの使い回しを避け、十分な長さと複雑さを持たせます。

5. 二段階認証を導入する

パスワードだけに依存せず、二段階認証を組み合わせることで不正ログイン対策を強化できます。

6. ログイン試行を制限する

短時間に大量のログイン試行が行われた場合に制限する仕組みを設けることで、自動化された攻撃への対策になります。

7. WAFを活用する

WAFはWeb Application Firewallの略で、Webサイトへの通信内容を確認し、不正な攻撃を検知・遮断する仕組みです。レンタルサーバー側でWAF機能が提供されている場合もあります。

8. バックアップを取得する

セキュリティ対策を行っても、リスクを完全にゼロにすることはできません。そのため、問題が起きた際に復旧できるバックアップ体制が必要です。

データベースだけでなく、テーマ、プラグイン、画像などを含めて復旧できるかを確認しましょう。

9. 改ざんや異常を監視する

セキュリティ対策では「侵入させない」ことに加えて、「異常が起きたときに早く気づく」ことも重要です。

ファイルの変更、異常なアクセス、管理者アカウントの追加などを確認できる体制を整えます。

10. テスト環境で更新してから本番へ反映する

企業サイトでは、アップデートすることと同じくらい、安全にアップデートする手順が重要です。

バックアップを取得し、可能であればテスト環境でWordPress本体・プラグイン・テーマを更新し、表示やフォームなどを確認してから本番サイトへ適用します。

ホームページの保守・管理にお困りではありませんか？

ホームページの保守・乗り換えをご検討なら

WordPressの脆弱性を確認する方法

WordPressの安全性が気になる場合は、まず現在の状態を確認しましょう。

WordPress本体のバージョンを確認する

管理画面から現在使用しているWordPressのバージョンを確認します。アップデート通知が表示されている場合は、内容と互換性を確認します。

プラグイン・テーマの更新状況を確認する

更新通知だけを見るのではなく、長期間更新されていないプラグインがないか、現在も提供・保守されているかを確認することが重要です。

WordPressのサイトヘルスを確認する

WordPress管理画面の「サイトヘルス」では、サイトの状態や改善すべき項目を確認できます。

サイトヘルスだけですべての脆弱性を診断できるわけではありませんが、基本的な設定や環境を確認する入口として利用できます。

公式・公的な脆弱性情報を確認する

WordPress本体、プラグイン、テーマについて脆弱性情報が公開されることがあります。自社が利用している製品名とバージョンを把握したうえで、WordPress.orgやIPAなどの情報を確認すると影響の有無を判断しやすくなります。

WordPressの脆弱性診断とは

脆弱性診断とは、WebサイトやWebアプリケーションに攻撃の入口となるセキュリティ上の弱点がないかを調査することです。

WordPressサイトの場合、WordPress本体やプラグイン、テーマの状態だけでなく、WebサーバーやWebアプリケーションとしての問題を確認する場合もあります。

ツール診断

専用の診断ツールを利用して自動的にチェックする方法です。広い範囲を効率よく確認できる一方、サイト固有の仕様やビジネスロジックまで判断できない場合があります。

手動診断

セキュリティの専門技術者が対象システムを確認する方法です。ツールだけでは判断しにくい問題まで調査できますが、診断範囲や規模に応じて費用も高くなります。

方法	費用の目安	向いているケース
WordPress管理画面などによる基本確認	0円	まず現状を確認したい
自動ツールによる脆弱性診断	数万円程度から	効率的にチェックしたい
専門会社による手動診断	数十万円〜数百万円	個人情報・決済・会員機能など重要システム

費用は診断範囲、画面数、リクエスト数、サーバー数、手動診断の有無などによって大きく変わります。

一般的な企業のWordPressコーポレートサイトであれば、いきなり大規模なペネトレーションテストを実施するのではなく、まずWordPress・プラグイン・テーマ・サーバー環境の状態を確認し、日常的な保守体制を整えることから始める方法も現実的です。

脆弱性診断だけでWordPressを安全にできるわけではない

脆弱性診断は、ある時点での問題を発見するための取り組みです。

診断を実施した日に問題がなくても、その後新しい脆弱性が発見される可能性があります。そのため、企業サイトでは「診断して終わり」ではなく、「確認→更新→監視→バックアップ」を継続することが重要です。

たとえば、年1回だけ脆弱性診断を実施していても、日常のプラグイン更新を1年間放置してしまえば、十分な対策とはいえません。

WordPressのセキュリティ対策では、単発の診断以上に日々の保守管理が重要になるケースがあります。

安心してWordPressを運用するには保守管理できる制作会社選びが重要

企業がWordPressでホームページを制作する場合、制作時のデザインや料金だけではなく、公開後の保守・管理まで対応できる制作会社かを確認することが大切です。

ホームページは公開した時点が完成ではありません。WordPress本体やプラグインは更新され、サーバー環境も変化します。

制作会社を選ぶ際は、次の点を確認しておきましょう。

公開後のWordPress更新まで対応しているか

「サイト制作」と「公開後の保守」が別契約になっている会社もあります。誰がWordPressの更新を担当するのかを制作前に確認しておきましょう。

更新前にバックアップ・検証を行うか

単にアップデートボタンを押すだけでなく、バックアップやテスト環境での確認を含めて対応できる会社であれば安心です。

バックアップから復旧できる体制があるか

バックアップは「取得している」だけではなく、必要なときに復旧できることが重要です。保存期間や取得頻度、復旧作業の範囲を確認します。

セキュリティ監視に対応しているか

改ざんや異常を早期に発見するため、どのような監視・確認を行っているかを確認しましょう。

問題発生時の窓口が明確か

サイトに異常が起きたとき、「制作会社」「サーバー会社」「社内担当者」の誰に相談すればよいのか分からない状態は避けるべきです。

制作から保守まで一貫して対応できる会社であれば、サイト構造や使用しているプラグインを把握したうえで対応しやすくなります。

他社が制作したWordPressでも相談できるか

制作会社との契約終了や担当者の退職により、WordPressサイトの管理先がなくなることもあります。

他社制作サイトの引き継ぎ保守に対応している会社であれば、既存サイトを調査したうえで保守体制を再構築できます。

WordPressの脆弱性対策は一度設定して終わりではなく、アップデートやバックアップ、監視を継続することが重要です。企業サイトで必要な保守内容や外注費用については、WordPress保守サービスの内容と費用相場をご覧ください。

保守会社を比較するときは、料金だけではなく、更新範囲・バックアップ・障害対応・セキュリティ対策などを同じ条件で確認することが重要です。比較時に確認すべき項目を整理したチェックリストもご用意しています。

実務で使える資料

WordPress保守会社

選定チェックリスト

WordPress保守会社を比較・選定するときに確認しておきたい、対応範囲や運用体制を実務用チェックリストにまとめました。

WordPress・プラグイン更新
障害・緊急時の対応
バックアップ・復旧体制
軽微修正・更新対応
セキュリティ対策
契約期間・解約・乗り換え条件

保守会社選定チェックリストをダウンロード

フォーム入力後、メールでダウンロードURLをご案内します（PDF資料・無料）

WordPressは適切に管理すれば必要以上に恐れる必要はない

WordPressの脆弱性について最もお伝えしたいのは、「WordPressは危険だから使わない方がよい」という話ではないということです。

WordPressは多くの企業サイトで利用されており、更新やセキュリティ対策の仕組みも継続的に提供されています。

一方で、WordPressは導入すれば自動的に何年間も安全な状態が続くシステムでもありません。

自動車に車検やメンテナンスが必要なのと同様に、WordPressにも更新、バックアップ、監視などの定期的な管理が必要です。

社内で管理できる体制があれば自社で対応しても問題ありません。しかし、専任担当者がおらず更新が後回しになる場合は、保守管理まで対応できる制作会社へ任せることも有効です。

ファーストネットジャパンのWordPress保守・管理

ファーストネットジャパンは、1998年創業・大阪市中央区に拠点を置くWeb制作会社です。4,000件超の制作実績をもとに、企画・設計・制作から公開後の運用改善まで一貫してサポートしています。

WordPressサイトについても、制作だけでなく公開後の保守・管理、バックアップ、アップデート対応などを含めてご相談いただけます。

特に企業サイトでは、単純にWordPress本体だけを更新すればよいわけではありません。テーマやプラグイン、PHP、サーバー環境との組み合わせを確認しながら運用する必要があります。

また、他社で制作されたWordPressサイトについても、現在の構成や管理状況を確認したうえで、引き継ぎ保守についてご相談いただけます。

なお、高度なWebアプリケーション脆弱性診断やペネトレーションテストなど、セキュリティ専門会社が行う診断とは対応領域が異なります。企業のWordPressサイトを安全・安定した状態で継続運用するための制作・保守という立場からサポートします。

「WordPressを数年間更新していない」「現在の制作会社が保守してくれない」「担当者が退職して管理方法が分からない」といった段階でも構いません。まずはお気軽にご相談ください。

会社概要

会社名	株式会社ファーストネットジャパン
所在地	大阪市中央区南久宝寺町1-7-10 シャンクレール南久宝寺201
設立	2004年12月（1998年8月創業）
URL	https://gelatocms.com/

よくある質問

Q. WordPressは脆弱性が多く危険なのですか？

WordPressそのものが特別に危険なCMSというわけではありません。世界中で非常に多く利用されているため攻撃対象になりやすく、脆弱性情報も多く公開されています。WordPress本体・プラグイン・テーマを適切に更新し、バックアップや不正ログイン対策、監視を継続することが重要です。

Q. 最新のWordPress脆弱性情報はどこで確認できますか？

WordPress.orgの公式セキュリティ情報やIPAなどの公的機関が公開する注意喚起を確認するとよいでしょう。自社で利用しているWordPress本体・プラグイン・テーマの名称とバージョンを把握しておくと、脆弱性の影響を受けるか判断しやすくなります。

Q. WordPressの脆弱性はどうやって確認できますか？

WordPress本体・プラグイン・テーマのバージョンや更新状況、WordPressのサイトヘルス、公開されている脆弱性情報などを確認します。より詳細に確認する場合は、自動診断ツールや専門会社による脆弱性診断を利用する方法があります。

Q. WordPressは自分で管理しても大丈夫ですか？

社内に知識を持つ担当者がおり、更新・バックアップ・監視を継続できるのであれば自社管理も可能です。一方、更新が長期間後回しになる場合は既知の脆弱性が残る可能性があるため、制作会社や保守会社へ管理を依頼する方法も検討しましょう。

Q. WordPressの脆弱性診断にはいくらかかりますか？

基本的な自己チェックは無料でできますが、自動診断ツールは数万円程度から、専門技術者による手動診断では数十万円から数百万円になる場合があります。対象ページ数やシステム構成、診断範囲によって大きく変わるため、目的に合った方法を選ぶことが重要です。

Q. WordPress制作会社を選ぶときにセキュリティ面で確認すべきことは何ですか？

公開後のWordPress・プラグイン更新、バックアップ、テスト環境での検証、セキュリティ監視、障害時の対応範囲を確認しましょう。制作だけでなく公開後の保守管理まで継続して相談できる会社を選ぶと、長期的に安定した運用につながります。

まとめ｜WordPressの脆弱性は適切な保守管理でリスクを抑えられる

WordPressには本体・プラグイン・テーマなどで脆弱性が発見されることがあります。しかし、脆弱性情報が多いからといって、WordPressそのものが特別に危険なCMSというわけではありません。

2026年にも複数のセキュリティアップデートが公開されていますが、大切なのは「脆弱性があるからWordPressは危険」と考えることではなく、修正版が提供された際に適切に更新できる体制を持つことです。

WordPress本体・プラグイン・テーマを適切に更新し、不要な機能を整理し、バックアップ、不正ログイン対策、WAF、改ざん監視などを継続しましょう。

特に企業サイトでは、「制作できる会社」を選ぶだけではなく、公開後もWordPressを安全・安定した状態で管理できる制作会社を選ぶことが重要です。

ファーストネットジャパンは、1998年創業・4,000件超の制作実績をもとに、WordPressサイトの制作から公開後の保守・管理まで一貫してサポートします。「現在のWordPressが安全か分からない」「数年間更新していない」「他社制作サイトの保守を引き継いでほしい」という段階でも構いません。まずはお気軽にご相談ください。

ホームページの保守・管理にお困りではありませんか？

ホームページの保守・乗り換えをご検討なら