Sorabun

セキュリティ

WordPressはオワコン？ 脆弱性を実際に数えて、初期設定も検査してみた【2026年10月】

公開 ・ 読了の目安 約24分 ・ Sorabun 編集部

WordPressはオワコン？ 脆弱性を実際に数えて、初期設定も検査してみた【2026年10月】

「WordPressはもうオワコン」「特にセキュリティが危ない」——。そんな声を、よく見かけるようになりました。

最初にお断りしておくと、私たちはWordPressのプラグインを作って販売している会社です。だからこそ、都合のいい話にならないように、都合の悪い数字も含めて、一次情報と、自分たちの集計・検査で確かめました。

結論から言うと、WordPressはオワコンではありません。でも、最強でもありません。2026年はシェアが下がり、本体の脆弱性が実際に悪用されました。一方で、脆弱性の大半は本体ではなくプラグインとテーマにあり、本体は深刻なときほど速く直されています。危険を決めるのは、本体そのものより、何を入れて、誰が更新するかでした。

1. シェアは本当に減っているのか

調査会社 W3Techs によると、2026年10月18日時点で、WordPressは全ウェブサイトの39.6%、CMS（サイトを作るソフト）が分かっているサイトの58.4%で使われています。

W3Techs の WordPress のページ。全サイトの39.6%、CMSが分かっているサイトの58.4%と書かれ、版ごとの割合のグラフがある
W3Techs の WordPress のページ（2026年10月18日）。版ごとに見ると、7系がすでに66.4%
各年1月1日 全サイトに占める割合 CMSの中での割合 CMSなし
2015年 23.3% 60.7% 61.7%
2022年 43.2% 65.2%（最高） 33.8%
2025年 43.6%（最高） 62.0% 29.6%
2026年 43.0% 60.2% 28.6%
2026年10月18日 39.6% 58.4% 32.1%

2026年に入ってからは、毎月下がっています。数字の上では、はっきりした減少です。

ただし、その間に大きく増えたのは、Wix や Shopify のような他社のサービスではありませんでした。2026年1月から10月の増減は、WordPress が −3.4ポイントに対して、Shopify +0.3、Wix ±0、Squarespace ±0、Webflow −0.1、そして「CMSなし」が +3.5ポイントです。CMSなしが増えた理由（手書きやAIで作ったサイトが増えたのか、判定のしかたが変わったのか）は、W3Techs は説明していません。

別の測り方でも、ゆるやかな減少が出ています。

日本では、ほぼ横ばい

日本語のサイトに限ると、CMSの中で WordPress は82.9%です（Shopify 3.0%、Jimdo 1.9%、Studio 1.8%、Wix 0.2%）。.jp ドメインでも78.7%。WordPress.org の公式統計でも、日本語は英語（米国）に次いで2番目に多い言語です。

減ってはいるけれど、急にゼロになるような落ち方ではない。日本では、今もいちばん使われているCMSです。

2. 開発は止まっていないか

「オワコン」と言われる理由のひとつが、運営をめぐる争いです。

和解の発表は、まだありません。 日付は WP Engine が公開している時系列（当事者側の資料）によります。

それでも、開発は続いています。

版 公開 主な中身
7.0「Armstrong」 2026年5月20日 生成AIとやりとりする AI Client を本体に搭載。管理画面の刷新。貢献者は875人以上
7.1「Mary Lou」 2026年8月19日 レスポンシブなスタイル設定、メンション付きのノート、AVIF・HEIC 対応
7.1.3 2026年10月6日 いまの最新（セキュリティの修正）
7.2 2026年12月10日の予定 —

2025年も、実際には6.8と6.9の2回、大きな更新が出ました。2026年のロードマップは「年3回のメジャーリリース」です。W3Techs では、WordPress のサイトの66.4%が、すでに7系に移っています。

3. 脆弱性を、実際に数えてみた

ここからが本題のセキュリティです。私たちは、セキュリティ会社 Wordfence が公開している脆弱性データ（Wordfence Intelligence）を毎日取り込んでいます。それを、公開された年ごとに数え直しました。

年 脆弱性 本体 プラグイン テーマ 重大・高 ログイン不要 直した版なし
2024年 8,232件 4件 7,959件（96.7%） 271件（3.3%） 18.8% 42.0% 23.0%
2025年 10,838件 2件 10,010件（92.4%） 830件（7.7%） 21.3% 49.6% 41.4%
2026年（10月18日まで） 9,847件 36件 8,776件（89.1%） 1,036件（10.5%） 35.1% 55.8% 23.1%

数え方：公開日の年ごと。「情報のみ」の記録は除く。1件が複数のソフトに当たることがあるので、本体・プラグイン・テーマの合計は件数と一致しません。重大・高は CVSS 7.0以上、ログイン不要は CVSS の「必要な権限：なし」、直した版なしは、当たるソフトのどれかに、いま（2026年10月18日）も修正版が無いもの。

分かったことは3つです。

  1. 本体は、ごくわずか。 本体の脆弱性は2024年が4件、2025年が2件。2026年は36件と増えましたが、それでも全体の1%未満です。毎年8千〜1万件ある脆弱性の99%以上は、後から足すプラグインとテーマでした
  2. 当たったプラグインの数も多い。 1年に脆弱性が見つかったプラグインは、2024年が4,393個、2025年が6,697個。多い弱点は、どの年もクロスサイトスクリプティング（XSS）、権限の確認漏れ、CSRF、SQLインジェクションでした
  3. 深刻なものが増えている。 重大・高の割合は18.8% → 21.3% → 35.1%、ログインしなくても狙えるものは42.0% → 49.6% → 55.8%と、年々上がっています

ほかの集計でも、傾向は同じです。数え方（何を1件とするか、いつの日付で数えるか）で数は少しずつ違いますが、どれも本体は全体の1%前後かそれ未満です。

集計 件数 本体 内訳
Wordfence の年次報告（2024年） 8,223件 5件 プラグインが96%
Patchstack の年次報告（2025年） 11,334件 6件（優先度の低いもの） プラグイン91%・テーマ9%
WPScan の累計 約4万件 1% プラグイン93%・テーマ6%
WPScan の統計ページの「Vulnerabilities by Component」。WordPress 1%、Plugins 93%、Themes 6% の円グラフ
WPScan の統計（累計・約4万件）。脆弱性の内訳は、本体1%・プラグイン93%・テーマ6%

4. ただし2026年は、本体でも悪用された

正直に言うと、「本体は安全、危ないのはプラグイン」と言い切れたのは、2025年までです。

2026年7月17日に出た WordPress 7.0.2 は、本体の「critical（重大）」と「high（高）」の脆弱性を直すものでした。2つを組み合わせた攻撃は「wp2shell」と呼ばれ、IPA（情報処理推進機構）は7月22日に、次のように注意を呼びかけています。

標準構成において、管理者権限などを要さないで、攻撃者が遠隔でのコード実行に至る可能性

IPA「WordPressの脆弱性対策について」の概要。CVE-2026-60137 と CVE-2026-63030、wp2shell と呼ばれること、CISA の KEV に載ったことが書かれている
IPA「WordPressの脆弱性対策について」（2026年7月22日）

米国の CISA（サイバーセキュリティ・インフラストラクチャ安全保障庁）が公開している「悪用が確認された脆弱性（KEV）」の一覧には、WordPress 本体が3件載っています（CVE-2026-60137 と CVE-2026-63030 が7月21日、CVE-2026-87902 が9月25日）。一覧に載った WordPress 本体の脆弱性は、この3件だけで、すべて2026年です。

2026年の本体のセキュリティ修正を、WordPress.org の公開情報から数えると、7つの版で44件ありました（公式の集計ではなく、私たちが合計した数）。報告者には Anthropic、pwn.ai、OpenAI と協力した Trail of Bits などが並び、AIを使った脆弱性探しで、これまで見つからなかった本体の穴が出てきていることがうかがえます。

版（公開日） 件数 主な中身
6.9.2（3月10日） 10件 修正漏れを 6.9.4 で追加修正
7.0.2（7月17日） 2件 critical と high。強制的な自動更新
7.0.3（8月6日） 12件 ログイン画面の、ログイン不要の XSS など
7.0.4（8月12日） 1件 投稿者以上の権限で、遠隔コード実行（条件付き）
7.1.1（9月17日） 11件 —
7.1.2（9月22日） 1件 critical。条件しだいで、ログイン不要の遠隔コード実行
7.1.3（10月6日） 7件 —

それでも、深刻なときほど対応は速い

7.0.2 のとき、WordPress.org は、影響を受ける版のサイトに、自動更新の仕組みで強制的に更新を配りました。本体の自動更新は、2013年の WordPress 3.7 から入っていて、多くのサイトで有効です。

WordPress 7.0.2 の公開のお知らせ。critical と high の脆弱性を直すセキュリティリリースで、影響を受ける版には自動更新で強制的に配ると書かれている
WordPress.org「WordPress 7.0.2」（2026年7月）。深刻さを理由に、強制的な自動更新を有効にした

ただ、自動更新が効かないサイトもあります。IPA も「自動更新が有効ではなかったり、更新に失敗している可能性も考えられます」と書いています。WordPress.org の公式統計では、6系以前の版のサイトが29.7%、サポートが終わった PHP 8.1 以前が36.6%残っています。プラグインの自動更新は、初期設定ではオフです（5.5 から選べるようになりました）。

5. 本当の弱点は、放置されたプラグイン

WordPress のセキュリティを専門にする Patchstack の2026年版の報告（2025年のデータ）には、次のような数字が並んでいます。

私たちの集計でも、2025年に公開された脆弱性の41.4%は、いまも修正版がありません。作者が更新をやめたプラグインは、穴が見つかっても、ふさがれないまま残ります。

つまり、危ないのは「WordPress」という名前ではなく、更新されないまま放置されたプラグインです。

6. 日本でも、改ざんは増えている

JPCERT/CC（JPCERT コーディネーションセンター）に報告されたウェブサイトの改ざんは、2025年10〜12月が105件、2026年1〜3月が90件、4〜6月が181件でした。前の3か月の約2倍です（CMS ごとの内訳は出ていません）。

4〜6月の事例として挙げられているのは、Google の検索ロボットにだけ海外のカジノのページを見せて、検索からの客を横取りする手口です。1〜3月には「国内の WordPress で構築された複数の Web サイトが改ざん」された事例も載っています。

民間の調査（Sucuri の2023年版）では、感染が見つかった CMS の95.5%が WordPress でした。ただし Sucuri 自身が「これらの数字は、そのソフトの安全性の高い低いを示すものではない。広く使われていることを示している」と断っています。同じ報告では、感染した時点で古い版だった CMS が39.1%、最も多く見つかったのは日本語の SEO スパム（感染したサイトの10.07%）でした。

IPA の「安全なウェブサイトの運用管理に向けての20ヶ条」も、「自組織のウェブサイトがどのようなソフトウェアで作られているか把握して脆弱性対策をとる必要があります」と、CMS を名指しで求めています。

7. 初期設定の WordPress を、実際に検査してみた

数字だけでなく、自分たちでも確かめました。いまの最新版の WordPress 7.1.3 を手元に新しく立てて（初期設定のまま）、ログインせずに、外から試しました。試したのは、自分たちの手元のサイトだけです。

試したこと 初期設定のまま ソラブンでふさいだ後
/?author=1 を開く /author/demo/ に転送され、ログイン名の demo が分かる トップページに転送（名前は出ない）
/wp-json/wp/v2/users を開く "slug": "demo" が見える rest_no_route（一覧を返さない）
初期設定の WordPress と、ソラブンでふさいだ後の比較。初期設定のままでは ?author=1 で /author/demo/ に転送され、REST API で "slug": "demo" が見える。ふさいだ後は名前が出ない
手元の WordPress 7.1.3 で、ログインせずに試した結果（左：初期設定のまま、右：ソラブンでふさいだ後）

このサイトでは、ログイン名の demo が、そのまま外から見えました。ログイン名が分かれば、あとはパスワードを試すだけです。ログイン名が見えること自体ですぐ乗っ取られるわけではありませんが、総当たりの手間を減らす手がかりになります。

初期設定に穴はある。でも、設定でふさげる。これが、検査してみた結論です。あわせて、使っていない XML-RPC（古い外部連携の入口）を止め、ログインの総当たりを締め出し、管理者に2段階認証を付けておくと安心です。

ソラブンのセキュリティ画面。ログインの総当たり、ログインURLの変更、画像認証、ログインの通知、ユーザー名の漏れ、XML-RPC の設定が並んでいる
ソラブンの「入口をふさぐ」設定（手元のデモサイト）。どれもチェックを入れるだけ

8. 乗り換えれば、安全になる？

Wix、Shopify、STUDIO のような「作るだけのサービス（SaaS）」は、サーバーやソフトの更新を事業者が担います。

表示の速さも、SaaS のほうが上です。HTTP Archive のモバイルの Core Web Vitals 合格率（2026年9月）は、Wix 80.9%、Shopify 76.2%、Webflow 71.3%、Squarespace 71.0%に対して、WordPress は48.3%（2022年9月の28.6%からは改善）。

ただし、安全を丸ごと任せられるわけではありません。

項目 WordPress（自分で運用） SaaS
サーバー・ソフトの更新 自分（本体の小さな更新は自動） 事業者
アカウントのパスワード・2段階認証 自分 自分（Shopify の規約："You are responsible for keeping your password secure."）
追加の機能（プラグイン・外部アプリ） 自分で選び、更新する 自分で選ぶ（Shopify の規約：外部アプリの利用は "entirely at your own risk"）
ドメイン 自分 自分（2024年には、Squarespace に移されたドメインが乗っ取られた例が報じられた）
自由度 高い（プラグイン72,008個、テーマ8,775個） サービスの範囲内

更新を任せられる分、守る範囲は狭くなります。それでも、アカウント・外部アプリ・ドメインの管理は、どこに移っても利用者の責任として残ります。

9. 結論：オワコンではない。でも最強でもない

「オワコン」側の根拠 「まだ使える」側の根拠
2026年は W3Techs と HTTP Archive の両方でシェアが減った 全サイトの約4割、CMSの約6割、日本語サイトでは約8割
表示の速さでは SaaS が上 2026年も大きな更新が2回出て、7.2も12月に予定
本体の脆弱性が悪用された（KEV に3件） 本体は自動更新があり、深刻なときは強制更新で配った
46%は公表時点で修正がなく、悪用は数時間で始まる 脆弱性の99%以上はプラグインとテーマ。入れる物は選べる
運営をめぐる争いが終わっていない 感染データの偏りは「利用者が多いから」と Sucuri 自身が説明

数えてみて分かったのは、危険は「WordPress かどうか」より、何を入れて、誰が更新するかで決まる、ということでした。WordPress を使い続けるなら、やることはシンプルです。

10. ソラブンでできること

WordPress の AI プラグイン Sorabun（ソラブン） には、記事づくりの機能に加えて、こうした守りの機能が入っています。

ソラブンの「プラグインと怪しいファイル」の検査。251個のファイルを確かめ、怪しいファイルは見つからなかったと表示されている
改ざんと怪しいファイルの検査（手元のデモサイト、2026年10月18日）

設定のしかたはマニュアル（セキュリティ）にあります。どれもクラウド版に標準で入っていて、最初の3記事は無料で試せます。自分のサイトに古いプラグインやテーマが残っていないかは、無料のセキュリティ診断で、URLを入れるだけで確かめられます。

Sorabun の無料のセキュリティ診断のページ。サイトのURLを入れると、プラグイン・テーマ・WordPress本体と版を調べ、既知の脆弱性と照合する
無料のセキュリティ診断。登録は要らず、結果は保存しない

よくある質問

結局、WordPress は使い続けて大丈夫ですか？

更新と管理をする人がいるなら、大丈夫です。脆弱性の大半はプラグインとテーマにあるので、入れる物を絞り、更新を遅らせず、入口をふさげば、危険は大きく下げられます。逆に、誰も更新しないまま放置するなら、どの仕組みでも危険です。

本体の自動更新は、何もしなくても効いていますか？

セキュリティの修正を含む小さな更新は、初期設定で自動です。ただし、サーバーや設定によっては止まっていたり、失敗していたりすることがあります。管理画面の「ダッシュボード」→「更新」で、いまの版が最新かを確かめてください。プラグインの自動更新は、初期設定ではオフです。

どんな人は、SaaS に乗り換えたほうがいいですか？

更新や管理をする人がいない、必要な機能が少ない、表示の速さを優先したい、という場合は、SaaS も良い選択肢です。ただし、アカウントのパスワードと2段階認証、連携する外部アプリ、ドメインの管理は、乗り換えても自分の責任として残ります。

自分のサイトの版や、古いプラグインを確かめるには？

管理画面の「更新」画面で確かめられます。外から見える範囲なら、無料のセキュリティ診断で、URLを入れるだけで、本体・プラグイン・テーマに既知の脆弱性が無いかを調べられます。

まとめ

出典（2026年10月18日に確認）

この記事の脆弱性の数は、Wordfence Intelligence（Defiant, Inc.）の脆弱性データを Sorabun が集計したものです。CVE などの情報は、MITRE ほか各提供元の著作権・ライセンスに従います。Patchstack・Wordfence・WPScan・Sucuri はセキュリティ製品を販売する会社、W3Techs と HTTP Archive は民間（HTTP Archive は非営利）の調査、WP Engine と Automattic の資料は訴訟の当事者のものです。

関連するコラム

セキュリティ 【2026年】WordPressの保守・セキュリティ対策を徹底解説！ 2026年はWordPress本体の重大な脆弱性（wp2shell・CVE-2026-87902）が続きました。数字で見るいまの状況、まず5分でできる確認、今日からの基本の対策、保守のスケジュール、乗っ取りのサインと初動まで、一次情報をもとに解説します。 セキュリティ あなたのWordPressが加害者に？ 改ざんサイトで訪問者をだます「ClickFix」と、今日の確かめ方【2026年10月】 改ざんされたWordPressは、偽の「私はロボットではありません」画面で訪問者に自分でウイルスを実行させる「ClickFix」の道具にされます（ESETの検知では日本が世界最多14%）。仕込まれる仕組み、2026年10月に悪用されたプラグインの脆弱性、攻撃者が残す裏口、乗っ取られたときに起きること、自分のサイトの確かめ方と初動まで。 セキュリティ 【2026年】相次ぐ個人情報漏えい、何が起きている？ 原因の「事実」と今日やる対策 2026年9月から相次ぐ個人情報の漏えい（タイムズカー・ローソン・ソースネクストほか）。何が起きているのかを各社の発表と国の機関の資料で整理し、確認された手口、「AIのせい」は本当か、漏れたら個人が今日やること（免許証の本人申告）、サイトを持つ人の対策までまとめました。

コラムの一覧へ