この記事の要点
- WordPressは利用者が多く、プラグインやテーマの脆弱性を狙った攻撃が自動化されているため、小さな企業のサイトでも標的になります。
- 主なチェックポイントは、本体・プラグイン・テーマの更新状況、使っていないプラグインの削除、管理画面の守り、サーバーとPHPのバージョンです。
- お問い合わせフォームや会員機能があるサイトは、改ざんだけでなく個人情報の流出にもつながるため、専門家による診断を検討しましょう。
- サーバー側のPHPなど、WordPressの外側の脆弱性も、サイトの安全に直結します。
企業のWebサイトの多くは、WordPressで作られています。手軽に更新できて便利な反面、利用者が多い分だけ攻撃者にとっても「狙いやすい対象」です。2026年10月には、Webサーバーで広く使われるPHPに重大な脆弱性が見つかり、国内外で多くのサイトが予防的に公開を停止する事態も起きました。
この記事では、WordPressサイトが狙われる理由と主なチェックポイント、専門家による脆弱性診断を受けるべきタイミングを、診断サービスを提供するサイバーセキュリティ総研（CSRI）の視点から解説します。
WordPressサイトが狙われる理由
- 攻撃が自動化されている：攻撃者は、脆弱なプラグインやテーマを使っているサイトをツールで自動的に探します。会社の規模や知名度は関係ありません。
- プラグインの数だけ入口が増える：便利なプラグインを追加するほど、管理すべきソフトウェアが増え、更新漏れも起きやすくなります。
- 更新が止まりやすい：制作会社が納品したあと、誰も更新していないサイトは珍しくありません。
- 管理画面が外から見える：ログイン画面への総当たり攻撃や、流出したパスワードの使い回しによる乗っ取りが起こり得ます。
自社でできるチェックポイント
| 項目 | 確認すること |
|---|---|
| 本体・プラグイン・テーマ | 最新版に更新されているか。開発が止まって更新されていないプラグインを使っていないか |
| 不要なもの | 使っていないプラグインやテーマが、無効化されたまま残っていないか（削除する） |
| 管理画面 | 管理者アカウントの数は必要最小限か。推測されにくいパスワードと多要素認証を使っているか。退職者のアカウントが残っていないか |
| サーバー・PHP | サーバー側のPHPやデータベースが、サポートされているバージョンか。修正版が出たら更新されているか |
| バックアップ | 改ざんされたときに戻せるバックアップがあるか。復元を試したことがあるか |
| フォーム・会員機能 | 問い合わせ内容や会員情報が、どこに保存・送信されているか把握しているか |
サイトの更新を制作会社やレンタルサーバー会社に任せている場合は、「誰が、何を、どの頻度で更新しているか」を確認するところから始めましょう。
専門家の脆弱性診断を受けるべきタイミング
- お問い合わせフォームや会員登録、EC機能など、個人情報を扱う機能がある
- カスタマイズしたテーマや独自のプラグインを使っている
- サイトの大きなリニューアルや、機能追加の直前・直後
- 更新が長く止まっていた、または管理者が誰か分からない状態が続いていた
- 取引先や親会社からセキュリティ対策の状況を求められた
専門家による診断では、プラグインやテーマの脆弱性の状況に加え、自社だけでは確認しにくい設定の不備や、独自に開発した部分の弱点も確認できます。
サイバーセキュリティ総研のWordPress診断
サイバーセキュリティ総研では、WordPressを運用している企業向けにWordPress診断（1 WordPressサイトが対象）を提供しています。プラグインやテーマの脆弱性ステータスを確認し、セキュリティ強化のチェックリストとあわせてご報告します。会員機能などを持つサイトでは、Web脆弱性診断やWebアプリのペネトレーションテストと組み合わせることもできます（詳しくはセキュリティ診断のサービスページ）。
よくある質問
Q. セキュリティ系のプラグインを入れていれば診断は不要ですか？
セキュリティ系のプラグインは有効な対策のひとつですが、それ自体の設定や更新が適切か、他のプラグインやサーバー側に弱点がないかは別に確認が必要です。定期的な点検と組み合わせるのがおすすめです。
Q. 小さな会社のサイトでも狙われますか？
狙われます。攻撃の多くは、脆弱なサイトを自動で探して手当たり次第に試すもので、会社の規模は関係ありません。小規模なサイトほど更新が止まりやすい点にも注意が必要です。
Q. 改ざんされたかどうか分からないのですが。
見た目に変化がなくても、裏側で不正なファイルが置かれている場合があります。不審な点がある場合は、診断とあわせて調査をご相談ください。
まとめ：「作って終わり」にせず、定期的な点検を
WordPressサイトの安全は、本体・プラグイン・テーマ・サーバーの更新と、管理画面の守りで大きく変わります。まずは自社でできるチェックを行い、個人情報を扱う機能がある場合や、長く更新が止まっていた場合は、専門家による診断で弱点を洗い出しましょう。
あわせて読みたい
WordPressサイトの診断は、サイバーセキュリティ総研にご相談ください
1サイトからご依頼いただけるWordPress診断をはじめ、会員機能やECを持つサイトのWebアプリケーション診断まで対応します。
- 小規模なWebサイト、WordPressサイトから、社内ネットワーク・クラウドまで対応
- OWASP Testing Guide、OWASP Top 10、NIST SP 800-115、MITRE ATT&CKにもとづく診断
- 重大な脆弱性は報告書の完成を待たずにご報告
- 修正手順の提示から対策実装、修正後の再診断まで伴走