Sorabun

セキュリティ

【2026年】WordPressの保守・セキュリティ対策を徹底解説！

公開 ・ 読了の目安 約16分 ・ Sorabun 編集部

【2026年】WordPressの保守・セキュリティ対策を徹底解説！

2026年は、WordPressのセキュリティにとって「当たり年」になってしまいました。7月には本体の重大な脆弱性「wp2shell」が、9月にも本体の脆弱性（CVE-2026-87902）が見つかり、どちらも公開から数日のうちに実際の攻撃が確認されています。10月には、国内の組織で相次ぐ不正アクセスを受けて、JPCERT/CC・IPA・個人情報保護委員会などが続けて注意喚起を出しました。

WordPressは「入れたら終わり」の道具ではありません。家や車と同じで、手入れ（保守）を続けて初めて安全に使えます。この記事では、2026年のいまの状況を数字で押さえたうえで、まず5分でできる確認、今日からできる基本の対策、一歩進んだ対策、保守のスケジュール、乗っ取りのサインと、もしもの時の初動まで、順に解説します。

1. 数字で見る、2026年のWordPressのいま

脆弱性は1年で1万件を超えた

WordPressのセキュリティ企業 Patchstack の年次レポートによると、2025年にWordPressの周りで見つかった新しい脆弱性は 11,334件。前の年より 42% 増えました。

項目 数字
新しく見つかった脆弱性（2025年） 11,334件（前年比 +42%）
どこで見つかったか プラグイン 91%・テーマ 9%・本体 6件
公開された時点で修正版が無かったもの 46%
大量に狙われた脆弱性が悪用されるまで 中央値 5時間

ここから分かることは3つです。

2026年は「本体」の重大な脆弱性が2回あった

2025年に本体で見つかった脆弱性は6件で、どれも優先度は低いものでした。ところが2026年は、本体で重大なものが続きました。

wp2shell（7月）

CVE-2026-87902（9月）

国内では10月に「不正アクセスの注意喚起」が相次いだ

2026年10月7日〜9日には、個人情報保護委員会・JPCERT/CC・国家サイバー統括室・IPA・総務省・経済産業省などが、国内組織での不正アクセスや情報漏えいを受けて、続けて注意喚起を出しました。WordPressが原因と名指しされたわけではありませんが、挙げられた手口は、Webサイトの運営者にもそのまま当てはまります。

2. なぜWordPressは狙われるのか

WordPressは世界でいちばん使われているCMSです。攻撃する側から見ると「同じ弱点を持つサイトが大量にある」ので、1つの攻撃コードで多くのサイトを狙えます。攻撃のほとんどは人の手ではなく、プログラムによる自動の巡回です。小さなブログでも、会社のサイトでも、区別なく狙われます。

よくある侵入口は次の5つです。

  1. 更新していない本体・プラグイン・テーマ（いちばん多い入口）
  2. 弱いパスワード・使い回しのパスワード（総当たりや、他のサイトから漏れたパスワードでのログイン）
  3. 放置されたプラグイン・テーマ（開発が止まり、脆弱性が見つかっても直らない）
  4. 有料テーマ・プラグインの更新漏れや、海賊版（nulled）。Patchstack によると、有料のものは悪用できる脆弱性の割合が高く（76%）、海賊版にはもともと不正なコードが仕込まれていることがあります
  5. サーバー側の古さ（サポートの切れたPHPなど）

3. 乗っ取られると何が起きるか

復旧には、調査・作り直し・関係者への連絡と、時間もお金もかかります。予防のほうがはるかに安くすみます。

4. まず5分で、いまの状態を確かめる

対策の前に、自分のサイトがいまどうなっているかを確かめましょう。管理画面だけでできます。

  1. 「ダッシュボード > 更新」: WordPress本体・プラグイン・テーマの更新が残っていないか。本体は、使っている系列の最新の修正版になっているか（2026年9月22日に 7.1.2 などが出ています）。
  2. 「ツール > サイトヘルス」: 「ステータス」に「致命的な問題」や「おすすめの改善」が出ていないか。「情報」タブの「サーバー」で PHP の版を確かめます。
  3. 「ユーザー > ユーザー一覧」: 見覚えのない管理者がいないか。辞めた人・使っていないアカウントが残っていないか。
  4. 「プラグイン > インストール済みプラグイン」: 無効のまま置いてあるものが無いか。長く更新されていないもの（WordPress.org の各プラグインのページの「最終更新」）が無いか。
  5. 外からの確認: 公開されているページから分かる情報で、既知の脆弱性が無いかを調べる無料の診断ツールもあります。

5. 今日からできる基本の対策（チェックリスト）

① 本体・プラグイン・テーマを最新に保つ

② 使っていないプラグイン・テーマは「削除」する

無効化しただけでは、ファイルはサーバーに残ります。脆弱性のあるファイルが残っていれば、直接狙われることがあります。使わないものは削除しましょう。テーマも、使っているもの（と、その親テーマ）以外は削除してかまいません。

③ 入れるものを選ぶ

④ ログインを守る

⑤ サーバーのPHPを新しくする

2026年10月時点で、PHP 8.1 以前はサポートが終わっています。PHP 8.2 も 2026年12月31日でセキュリティ修正が終わります。WordPress は PHP 8.3 以上を推奨しています。サーバーの管理画面から切り替えられることが多いので、テスト環境で表示を確かめてから切り替えましょう。

⑥ 常時HTTPS（SSL）にする

ログイン情報や問い合わせの内容を、通信の途中で盗み見られないようにします。いまはほとんどのレンタルサーバーで無料で使えます。

⑦ バックアップを自動で取り、「戻せるか」を確かめる

6. 一歩進んだ対策

WordPress向けの防御（WAF）を入れる

Patchstack の調査では、一般的なサーバー側の防御で止められたのは、WordPress特有の攻撃の 12% でした。サーバー会社のWAFに加えて、WordPressの攻撃の形を知っている防御（セキュリティプラグインや、WordPress向けのWAFサービス）を組み合わせると安心です。修正版が出る前の脆弱性にも、防御のルールで先回りできることがあります。

管理画面からファイルを書き換えられないようにする

wp-config.php に次の1行を足すと、管理画面の「テーマファイルエディター」「プラグインファイルエディター」が使えなくなります。乗っ取られたときに、管理画面から不正なコードを書き込まれる被害を減らせます。

define( 'DISALLOW_FILE_EDIT', true );

改ざんと怪しいファイルを見張る

本体のファイルが書き換わっていないか（WordPress.org の正しいファイルの一覧と突き合わせる）、アップロードフォルダにPHPが置かれていないかを、定期的に確かめます。アップロードフォルダではPHPを動かさない設定にすると、画像のふりをした不正ファイルを置かれても動きません。

ログを見る習慣をつける

10月の国内の注意喚起でも、まず 直近1か月のログを確かめる ことが勧められています。

脆弱性の情報を、自分から取りにいく

7. 保守のスケジュール（目安）

いつ やること
毎日 緊急の注意喚起が出ていないか確認／バックアップが取れているか
毎週 プラグイン・テーマ・本体の更新と表示の確認／ログイン履歴とユーザーの確認
毎月 使っていないプラグイン・テーマの削除／改ざん・怪しいファイルの確認
3か月ごと PHP・データベースの版の確認／権限とアカウントの見直し
年1〜2回 バックアップから戻せるかの試験／入れているもの全体の棚卸し

8. 乗っ取りのサイン（こんなときは要注意）

乗っ取りは、管理者が気づかないように行われることが多いです。次のようなことがあれば、すぐに確かめてください。

9. もし乗っ取られたら（初動の手順）

  1. 慌てて全部消さない。まず、メンテナンス表示にするなどして公開を止めます。
  2. 記録を残す。アクセスログ・エラーログ、怪しいファイルの場所と日時を控えます（原因を突き止めるのに必要です）。
  3. パスワードをすべて変える。WordPressの全ユーザー、サーバー・FTP・データベース、関連するメールアカウントまで。
  4. きれいな状態に戻す。乗っ取られる前のバックアップから戻すか、本体・プラグイン・テーマを公式から入れ直し、見覚えのないファイルとユーザーを消します。
  5. 入口をふさぐ。原因になった古いプラグインの更新・削除、二段階認証の設定など。ふさがないまま戻すと、また同じ入口から入られます。
  6. 検索への影響を直す。Google Search Console の「セキュリティの問題」を確かめ、解決したら審査を申し込みます。
  7. 関係者に知らせる。個人情報が漏れたおそれがあるときは、個人情報保護委員会への報告や本人への通知が必要になる場合があります。自分で手に負えないときは、専門の会社に相談しましょう。

10. 自分でやる？ 任せる？

Sorabun（ソラブン）は、WordPressの中で、既知の脆弱性の照合、セキュリティ修正を含む更新の見分け、改ざん・怪しいファイルの見張り、二段階認証・パスキー、ログインの総当たり対策などをまとめて行えます。まずは、URLを入れるだけの 無料のセキュリティ診断 で、あなたのサイトのプラグインに既知の脆弱性が無いか確かめてみてください。毎日の 脆弱性アラート も公開しています。

よくある質問

小さな個人ブログでも狙われますか？

狙われます。攻撃のほとんどはプログラムによる自動の巡回で、サイトの規模や知名度は関係ありません。乗っ取られたサイトは、詐欺サイトへの誘導やスパムの踏み台として使われます。

プラグインの自動更新は、全部オンにしたほうがいいですか？

本体の小さな更新は必ずオンにしましょう。プラグインは、まず信頼できて影響の小さいものからオンにするのがおすすめです。更新で表示が崩れることがまれにあるので、大事なサイトは「更新したら表示を確かめる」までをセットにしてください。セキュリティの修正を含む更新だけを自動で当てる方法もあります。

使わないプラグインは、無効化しておけば安全ですか？

いいえ。無効化してもファイルはサーバーに残り、その脆弱性を直接狙われることがあります。使わないものは削除してください。

セキュリティプラグインは、たくさん入れたほうが安心ですか？

同じ働きをするものを重ねて入れると、ぶつかり合って不具合や表示の遅さの原因になります。防御のプラグインは基本的に1つにして、サーバー側の防御（WAF）とバックアップを組み合わせましょう。

サーバー会社の自動バックアップがあれば十分ですか？

とても便利ですが、保存される期間や、戻せる範囲（ファイルだけか、データベースもか）を確かめておきましょう。サーバーそのものに問題が起きたときに備えて、サーバーの外にもバックアップを置くと安心です。

二段階認証を入れて、スマホを失くしたら締め出されませんか？

設定したときに出る 予備のコード を、印刷するかパスワード管理アプリに保存しておけば入れます。管理者が複数いれば、ほかの管理者が解除することもできます。

まとめ

出典（2026年10月17日に確認）

コラムの一覧へ