WordPressの脆弱性とは？
放置のリスクと対策を解説

脆弱性とは、ソフトウェアに残っているセキュリティ上の弱点のことです。攻撃者はこの弱点を入口にして、サイトの改ざんや情報の抜き取りを試みます。

WordPressの場合、弱点が生まれる場所は大きく3つあります。

セキュリティ企業Patchstackの年次調査（State of WordPress Security in 2026）によると、2025年に新しく見つかった脆弱性は11,334件で前年比42%増。その91%はプラグイン由来でした。つまり「WordPress本体が危ない」のではなく、便利さのために足したプラグインが弱点になるのが実態です。

さらに深刻なのは、46%の脆弱性が、修正版が出ないまま公表されたことです。「更新していれば安全」とは言い切れない日が、現実に存在します。

侵入されたときに起きることは、派手ではありません。静かに起きます。

• 改ざん — ページに不正なリンクや偽ページが仕込まれる。見た目が変わらないことも多い
• 踏み台化 — あなたのサイトが、スパム送信や他サイトへの攻撃の発射台にされる
• 情報の抜き取り — 会員情報・問い合わせ内容などが流出する
• 検索・AIからの評価毀損 — 改ざんに検索エンジンが気づくと警告表示や順位低下が起き、回復には時間がかかる

共通するのは、サイトの見た目では気づけないことです。気づいたときには数週間〜数カ月経っていた、というのが典型的な経過です。

セキュリティの専門知識がなくても、考え方は5つに整理できます。

1. 更新を溜めない — 本体・プラグイン・テーマの更新は脆弱性の修正を含みます。「あとでまとめて」が一番危ない
2. 使っていないものを消す — 停止中のプラグインやテーマも弱点になります。数を減らすこと自体が対策です
3. ログインの入口を守る — 推測されにくいパスワードと、可能なら二段階認証を
4. バックアップを別の場所に — 侵入をゼロにはできない前提で、戻れる状態を確保する
5. 「気づく仕組み」を持つ — 侵入や改ざんは静かに起きるため、監視がなければ発見できません

ただし、正直にお伝えすべきことがあります。先ほどの調査のとおり、脆弱性の46%は修正版が出る前に公表されています。つまり1〜4を完璧にやっても、「更新では守れない期間」が構造的に発生します。だからこそ5つ目の「気づく仕組み」と、攻撃がサイトに届く前に確認する前段の防御が意味を持ちます。

なお、「100%防げる対策」は存在しません。できるのは被害につながる確率を大きく下げることです。