2026年8月、WordPressのセキュリティ企業Wordfenceは、8月10日から16日までの1週間に、200個のプラグインと5個のテーマから計260件の脆弱性が報告されたと公表しました。調査には142人のセキュリティ研究者が関わっています。
数字だけを見ると、WordPress全体が急に危険になったように感じるかもしれません。しかし、脆弱性が多く報告されることと、御社のWordPressサイトが同じように危険であることは別の話です。
この記事では、今回のレポートを読み解きながら、企業がWordPressをどのように管理し、守るべきかを解説します。末尾には、今日から確認できるチェック項目もまとめていますので、ぜひ最後までお読みください。
脆弱性が増えたから危険なのか
Wordfenceの2024年年次レポートでは、同社データベースに登録された脆弱性は8,223件で、2023年から約68％増加しました。その96％はプラグインに関するものでした。
ただし、Wordfenceは、報告件数の増加がそのまま大多数のサイト所有者の危険増加を意味するわけではないと説明しています。2024年に報告された脆弱性のうち、危険性が高いと評価されたものは7.4％でした。
件数が増えた背景には、脆弱性を発見した研究者へ報奨金を支払うバグバウンティ制度の拡大があります。研究者がプラグインやテーマを調査し、開発元へ問題を報告する仕組みが整ったことで、以前なら見過ごされていた問題が発見されやすくなりました。
報告件数は増加していますが、防御側が問題を見つけ、修正しやすくなった結果も含まれています。
昔はパスワード攻撃が目立っていた
WordPressへの攻撃として、これまで目立ってきたのが管理画面へのログインを狙う攻撃です。代表的なものが、パスワードを何度も試すブルートフォース攻撃です。ほかのサービスから流出したメールアドレスとパスワードの組み合わせを使うクレデンシャルスタッフィング（流出した認証情報の使い回しを狙う攻撃）もあります。
これらは、正しい組み合わせに当たるまで何百回、何千回とログインを試すため、攻撃リクエスト数が非常に大きくなります。大量の記録が残るので、攻撃を受けていることも比較的分かりやすい方法でした。
「攻撃回数」という数字の見方
Wordfenceの2025年第4四半期レポートでは、遮断または記録されたWAF関連リクエストは91億件で、前四半期から6.1％減少しました。一方、攻撃に使われた異なるIPアドレス数は37.2％増えています。
パスワード攻撃も138億件と前四半期から28％減少しましたが、攻撃元の異なるIPアドレス数は59.3％増加しました。1つのIPアドレス当たりの平均試行回数は54.8％減っています。
このように、総攻撃回数だけを見ても攻撃元の広がりや危険度までは判断できません。
サーバーやWAFで遮断された回数が減っていても、「攻撃者が減った」「安全になった」とは限りません。攻撃方法や分散の仕方が変われば、数字の見え方も変わります。
現在はプラグイン脆弱性を狙う攻撃へ
Wordfenceは2024年末時点の傾向として、パスワード攻撃が減少する一方、ソフトウェアの脆弱性を狙う攻撃が増えていると報告しています。
パスワード攻撃は大量の試行が必要ですが、既知のプラグイン脆弱性を狙う攻撃は、対象のプラグインとバージョンが分かれば、比較的少ないリクエストで成立する場合があります。そのため、攻撃回数が少なく見えても安全とは限りません。
一度の成功で管理者権限の取得や不正ファイルの設置につながる脆弱性もあるため、攻撃回数よりも脆弱性の内容が重要になります。
サーバー・WAF・MFAなど防御側も進化
攻撃方法が変化する一方、防御側の機能も進化しています。
WAF（Webアプリケーションファイアウォール）は、不正な通信を検知・遮断する防御機能です。サーバー側のWAF、WordfenceのようなWordPress専用WAF、Cloudflareのようにサイトの外側で通信を確認するWAFを組み合わせる方法もあります。
ログイン対策では、MFA・二要素認証、IPアドレス制限、国外アクセス制限、ログイン試行回数制限などが普及しています。
国内のエックスサーバーでも、WAFに加え、WordPress管理画面へのIPアドレス制限、国外アクセス制限、ログイン試行回数制限が提供されています。セキュリティ対策は、専門会社だけが扱う特別な機能ではなく、一般的なホスティングサービスの標準機能になりつつあります。
防御機能は、導入しただけでなく、設定と稼働状況まで確認して初めて役に立ちます。
WordPress保守で企業がやるべきこと
WAFは有効な対策ですが、すべての攻撃を防げるものではありません。エックスサーバーの公式マニュアルでも、WAFを最低限の予防策と位置づけ、根本的な対応として最新版への更新が必要だと説明しています。
脆弱性のあるプラグインを使い続けるより、修正版へ更新して、脆弱性そのものをなくす方が確実です。
一方、企業サイトでは「すべて自動更新にする」だけでは問題が起きることがあります。更新によって、レイアウト崩れ、プラグイン同士の競合、PHPとの互換性問題、フォーム・決済機能の不具合が起きる可能性があるためです。
WordPress公式も、自動更新を有効にする前に、問題発生時に以前の状態へ戻せるよう、定期的なバックアップを取ることをおすすめしています。
WordPressサイトの更新は、バックアップ、更新、動作確認、問題があった場合の復旧までを一つの作業として考える必要があります。
「WordPressが危険」ではなく「放置が危険」
WordPressは、スマートフォンやパソコンのOSと同じように、継続的に更新されるシステムです。本体だけでなく、プラグイン、テーマ、PHP、サーバー環境も変化します。
そのため、公開時に安全だったサイトが、何年後も同じ状態とは限りません。
WordPressそのものが危険なのではありません。管理されていないWordPressが危険なのです。
制作会社との契約が終了した後、担当者が決まらないまま数年間経過しているサイトも少なくありません。正常に表示されているからといって、更新やバックアップまで適切に管理されているとは限りません。
企業担当者が確認したいチェック項目
- WordPress本体、プラグイン、テーマの更新状況
- 使用していないプラグインやテーマが残っていないか
- 管理者アカウントの所有者を把握しているか
- 退職者や旧制作会社のアカウントが残っていないか
- 管理者アカウントで二要素認証を使っているか
- WAFやログイン試行回数制限が有効か
- バックアップの保存先と保存期間を把握しているか
- バックアップから実際に復元できるか
- フォーム、予約、決済などを更新後に確認しているか
一つでも分からない項目があれば、管理状態を確認することをおすすめします。
定期的なメンテナンスを
WordPressは一度作ったら終わりのシステムではありません。脆弱性の発見、修正版の公開、攻撃方法、防御機能が継続的に変化しています。
株式会社ネクスト・アクションでは、WordPress本体・プラグインの更新、更新前のバックアップ、更新後の動作確認、WAF・セキュリティ設定の確認、不正アクセス・改ざんの確認、障害時の復旧対応を含むWordPress保守を行っています。
自社サイトが現在どのような状態か分からない場合は、一度確認してみることをおすすめします。
「担当者がいない」「制作会社との契約が終わった」という事情は、攻撃する側には関係ありません。管理者が決まっていない状態をそのままにすることが、企業サイトにとって一番避けたいリスクです。
参考資料
- Wordfence Intelligence Weekly WordPress Vulnerability Report：2026年8月10日〜16日
- Wordfence 2024 Annual WordPress Security Report
- Wordfence Quarterly WordPress Threat Intelligence Report – Q4 2025
- WordPress.org：プラグイン・テーマの自動更新
- WordPress.org：WordPressのセキュリティ強化
- OWASP：Credential Stuffing
- エックスサーバー：WordPressセキュリティ設定
- エックスサーバー：WAF設定
- Cloudflare：Webアプリケーションセキュリティ
