WordPressでサイトを運営していると、「うちのサイトに脆弱性は残っていないだろうか」という不安がふとよぎります。プラグインやテーマは便利に追加できる一方で、それぞれが攻撃の入り口になり得ます。無料の診断ツールを試してはみたものの、「この結果で安心してよいのか」が判断できず、手が止まっている方も多いはずです。
WordPressの脆弱性診断には、自分で回す無料のセルフ診断と、専門の事業者に依頼するプロの脆弱性診断サービスがあります。両者は「何を見るか」「どこまで分かるか」が大きく異なり、扱う情報や公開状況によって選ぶべき手段が変わります。
この記事では、無料セルフ診断でできること・できないことを整理したうえで、プロ診断サービスの選び方・費用相場・比較を、WordPressを運営・保守する立場から解説します。
自社に合うサービスの見当がついたら、各社の資料をまとめて取り寄せ、料金と診断範囲を並べて比較してみてください。
目次
本記事の対象範囲
この記事は、自社サイトやオウンドメディア、小規模なECをWordPressで運用している企業の担当者と、顧客サイトを受託で制作・保守している制作会社やフリーランスを対象にしています。専任のセキュリティ担当を置きにくい規模で、「まず何をすればよいか」から考えたい方を想定した内容です。
扱うのは、WordPress（PHPで動くCMS）そのものと、プラグイン・テーマ・独自実装まで含めたWebサイトの脆弱性診断です。サーバーやネットワーク機器だけを対象とする診断、社内端末のセキュリティ対策は範囲外とし、必要に応じて別記事に譲ります。
WordPressに限らず、脆弱性診断サービス全般を診断方法・費用相場・選び方から見比べたい場合は、以下のまとめ記事もあわせてご覧ください。CMSやWebアプリに限定しない、診断サービス全体の比較を確認できます。
WordPressの脆弱性を診断する方法
ここからは、WordPressの脆弱性を確かめる手段を、手軽なものから本格的なものへ順に見ていきます。大きく分けると、WordPress標準の自己点検機能、外部の無料診断ツール、専門事業者によるプロの脆弱性診断の3つがあり、それぞれ「何を見るか」が違います。
WordPress標準のサイトヘルスでできること
WordPressには「サイトヘルス」という自己点検機能が標準で備わっています。管理画面の「ツール」から開くと、ステータスと情報の2つのタブが表示され、ステータスタブでは設定や更新状況の問題が「重大な問題」「おすすめの改善」「合格したテスト」の3段階で示されます。
拾ってくれるのは、たとえば自動更新が無効になっている、古いPHPバージョンを使っている、更新されていないプラグインがある、といった設定・運用上の不備です。言い換えると、サイトヘルスは「更新漏れや設定ミスを可視化する自己点検ツール」であって、プラグイン内部に潜む未知の脆弱性まで検出する脆弱性スキャナではありません。
出典・参考資料（1件）
無料セルフ診断（WPScanなど）で分かること・分からないこと
外部から手軽に試せる無料ツールもあります。URLを入力するだけで外形をチェックするオンライン診断や、WPScanのように既知の脆弱性データベースと照合してWordPress本体・プラグイン・テーマのバージョンごとの既知脆弱性を洗い出すツールが代表的です。公開情報をもとにした非侵入型の確認なら、サイトに大きな負荷をかけずに現状を把握できます。
今日から自分で試せる手段としては、管理画面に入れるセキュリティプラグイン（Wordfenceなど）のスキャン機能、コマンドで使うWPScan（無料枠があり多くの機能を無料で試せます）、ブラウザにURLを入れるだけの簡易チェックツールなどがあります。まずはこれらで更新漏れや設定不備を把握するのが、無料でできる第一歩です。
一方で、無料ツールが見つけられるのは基本的に、すでに公開されている既知の脆弱性と、外から見える範囲の設定不備までです。プラグイン内部の作り込みに起因する未知の欠陥、認証を通過した後の画面で起きる問題、独自に開発した機能のロジックの穴などは、公開情報の照合だけでは判断できません。無料診断で「問題なし」と出ても、それは「既知の範囲では見つからなかった」という意味にとどまります。
プロの脆弱性診断サービスとは
プロの脆弱性診断サービスは、専門の事業者が診断ツールや専門家の手作業で、Webサイトに疑似的な攻撃を試みて弱点を洗い出し、危険度と対策の優先順位をつけて報告するサービスです。ツールで広くスキャンするタイプ、有資格の診断員が手動で精査するタイプ、両者を組み合わせるタイプがあり、検出できる範囲と費用が異なります。
無料ツールとの一番の違いは、認証後の画面や独自実装、プラグイン同士の組み合わせで生じる問題まで踏み込んで診断し、見つかった弱点の再現手順と直し方まで報告書にまとめてもらえる点です。公開前の重要なサイトや、個人情報を扱うサイトでは、この深さが安心材料になります。
無料セルフ診断で足りるケースとプロ診断が必要なケース
ここでは、無料セルフ診断で当面足りるケースと、プロ診断を検討したいケースの分かれ目を整理します。判断の軸になるのは、扱う情報の重要度・サイトの公開段階・改修の頻度・社内で対処できる人がいるか、の4点です。
問い合わせフォーム程度で個人情報をほとんど扱わず、更新も少ないコーポレートサイトであれば、まずはサイトヘルスと無料ツールで更新漏れ・設定不備をつぶし、定期的に状態を確認する運用でも一定の水準は保てます。無料診断は「今の状態をこまめに把握する」入口として有効です。
一方、次のような状況では、既知の範囲を超えた診断が必要になり、プロ診断の検討をおすすめします。
会員登録・決済・予約など個人情報や重要データを扱う、独自のプラグインやテーマを開発している、サイトを新規公開する直前や大きな改修を行った、あるいは取引先やカード会社からセキュリティ対策の実施を求められている、といったケースです。これらは「公開情報の照合」だけでは拾いきれない領域に、事業上のリスクが集中しているためです。
迷ったときは、無料診断で現状を把握しつつ、扱う情報の重要度が上がるタイミングや公開・大改修の節目でプロ診断を挟む、という使い分けが現実的です。
なぜWordPressは脆弱性を抱え、放置すると危険なのか
診断でどこを重点的に見るべきかは、WordPressの脆弱性がなぜ・どこに生まれやすいかを押さえると判断しやすくなります。ここからはその背景を、シェア・脆弱性の発生源・放置した場合のリスクの順に整理します。
WordPressが狙われやすい理由
WordPressは、世界のWebサイトの41.2%で使われ、CMS（コンテンツ管理システム）が判明しているサイトに限ると59.1%のシェアを占めます（W3Techs、2026年7月時点）。利用者が突出して多いということは、攻撃者にとっては「一つの手口が多くのサイトに通用する」費用対効果の高い標的になることを意味します。
加えて、WordPressはソースコードが公開されているオープンソースであり、プラグインやテーマを誰でも追加して機能を広げられます。手軽に使える利点の裏返しとして、公開されたコードは攻撃者にも研究されやすく、無数に存在するプラグイン・テーマの品質はまちまちです。この「シェアの高さ」と「拡張の自由さ」が、脆弱性を突いた攻撃が絶えない背景になっています。
出典・参考資料（1件）
脆弱性はどこに生まれるか（本体・プラグイン・テーマ）
WordPressの脆弱性は、WordPress本体（コア）・プラグイン・テーマ・その土台のミドルウェア（PHPやサーバーソフト）のいずれにも生じ得ますが、実際の発生源は大きく偏っています。
セキュリティ企業Patchstackのレポートによると、2024年にWordPressエコシステムで見つかった新規の脆弱性は7,966件（1日あたり約22件）にのぼり、そのうち96%がプラグイン、4%がテーマで見つかったもので、WordPress本体（コア）で見つかったのは7件でした。
危険はWordPress本体そのものよりも、後から追加するプラグインとテーマに集中しているのです。同レポートでは、2024年に公開された脆弱性の33%が、公表までに修正が間に合っていなかったとも報告されています。
出典・参考資料（1件）
この偏りは、診断で「どこを重点的に見るべきか」を示しています。数多く導入したプラグイン・テーマのうち、更新が止まっているものや、公開後にメンテナンスされなくなったものが、そのまま弱点として残りやすいのです。
既知の脆弱性は、JVN（JPCERTコーディネーションセンターとIPAが共同運営する脆弱性対策情報ポータルサイト）やCVE（国際的な脆弱性識別子）といった公的な情報源で公表されます。診断ではこれらと照合しながら、自サイトに残っている弱点を洗い出します。
出典・参考資料（1件）
脆弱性を放置した場合のリスク
脆弱性を残したままにすると、実害は複数の形で現れます。管理画面への不正ログインでサイトを乗っ取られる、ページを改ざんされて不審なコンテンツを埋め込まれる、フォームやデータベースから個人情報が漏えいする、といった直接的な被害です。
さらに見落とされがちなのが、自サイトが「踏み台」にされる被害です。乗っ取られたサイトが、他者への攻撃やスパム送信、マルウェア配布の中継地点に使われると、被害者であると同時に加害の一端を担う立場になり、取引先や利用者からの信頼を損ないます。改ざんや情報漏えいは、復旧費用だけでなく、事業の信用にも長く影響します。
プロの脆弱性診断で実際に何を見るか（WordPress特有の診断観点）
ここでは、プロのWordPress脆弱性診断が具体的に何をチェックするのかを、WordPressならではの観点にしぼって解説します。「診断で本当に自サイトのリスクをカバーできるのか」という不安に、実際に見る項目から答えます。
プラグイン・テーマの既知脆弱性
前述のとおり脆弱性の大半はプラグインとテーマに集中するため、診断ではまず、導入済みのプラグイン・テーマとそのバージョンを洗い出し、公表されている既知脆弱性と照合します。
更新が止まっているもの、すでにメンテナンスされていないもの、使っていないのに残っているものは、優先的な是正対象として指摘されます。市販の商用テーマや自社専用に作った独自テーマは、公式ディレクトリのものより情報が出回りにくいため、手動での確認が効いてきます。
管理画面・ログインの保護
WordPressはログイン画面の場所が既定で共通しているため、そこを狙った総当たり（ブルートフォース）攻撃を受けやすいという特徴があります。診断では、推測されやすい弱いパスワードやユーザー名が使われていないか、ログイン試行の回数制限や二段階認証などの対策が講じられているか、といったログイン周りの守りを確認します。管理者アカウントの奪取は被害が最も大きいため、ここは重点的に見られる領域です。
XML-RPC・WP-Cron・REST APIなど標準機能の公開状態
WordPressには、外部から呼び出せる仕組みがいくつか標準で用意されており、設定次第で攻撃の足がかりになります。診断ではこうしたWordPress特有の入り口の公開状態を確認します。
- REST APIのユーザー一覧（
/wp-json/wp/v2/users）は、既定で公開投稿の投稿者情報を返すため、有効なユーザー名が外部から集められ、ログインの総当たりの入力に使われることがあります。 - XML-RPC（
xmlrpc.php）は投稿やユーザー管理を外部から操作できるリモート操作APIで、公開されていると認証試行の窓口になりやすい入り口です。 - WP-Cron（
wp-cron.php）はページの読み込みごとに予約タスクを起動する仕組みで、公開URLに大量アクセスがあるとサーバー負荷につながり得るため、公開状態が診断対象になります。
これらはいずれもWordPressに備わった正規の機能ですが、必要のない機能を公開したままにしていないか、アクセスを絞れているかを点検することが、WordPress特有の診断観点になります。
出典・参考資料（1件）
WordPress脆弱性診断サービスのタイプ（診断方法軸）
プロの脆弱性診断サービスは、診断のかけ方によって大きく3つのタイプに分かれます。自社が「精度と網羅性を取るか、スピードとコストを取るか」を考えるうえで、この違いが最初の分かれ目になります。まずは全体像を表で確認し、続けて各タイプの向き・不向きを見ていきます。
| 特徴 | 向いている企業 | 該当する主なサービス | |
|---|---|---|---|
| ツールによる自動診断 | ツールでWebアプリを自動スキャン。短時間・低コストで繰り返し診断でき、継続運用に向く | 改修サイクルが速いサイト、内製で継続的に診断したい制作会社・開発チーム | Aikido Security、Securify、AeyeScan、VAddy |
| 専門家による手動診断 | 有資格の診断員が手作業で精査。ツールでは拾いにくい認証後・独自実装の弱点まで踏み込む | 公開前・個人情報を扱う重要サイトで、深さと網羅性を重視したい企業 | NRIセキュア、MBSD |
| 手動＋ツールのハイブリッド | ツールで広く当てて専門家が精査。費用と網羅性のバランスを取る | コストを抑えつつ、要所は人手の精査も入れたい企業 | GMOサイバーセキュリティ byイエラエ、Vex |
ツールによる自動診断タイプ
診断ツールがWebアプリケーションを自動でスキャンし、既知の脆弱性や典型的な弱点を検出するタイプです。短時間・低コストで繰り返し実施できるため、プラグインの更新やサイトの改修のたびに診断を回したいサイトに向きます。開発や保守を内製し、継続的にセキュリティを確認したい制作会社・開発チームと相性が良い選択肢です。
一方で、自動診断は「型にはまった弱点」の検出は得意ですが、認証を通過した後の複雑な操作や、独自ロジックの穴までは拾いきれない場合があります。手軽さと引き換えに、深さは次の手動診断に譲る面があると理解しておくとよいでしょう。
専門家による手動診断タイプ
有資格の診断員が手作業で、疑似攻撃を交えながら精査するタイプです。ツールでは見つけにくい認証後の画面の問題や、プラグイン同士の組み合わせ・独自実装に起因する欠陥まで踏み込めるのが強みです。公開前の重要なサイトや、会員情報・決済を扱うサイトで、網羅性と深さを重視したい場合に適しています。
手作業のぶん費用と期間はかかりやすく、頻繁な繰り返しには向きません。節目でしっかり見てもらう使い方が基本になります。
手動＋ツールのハイブリッドタイプ
ツールで広く自動スキャンをかけたうえで、要所を専門家が手動で精査するタイプです。自動診断のスピードと手動診断の深さの中間に位置し、費用と網羅性のバランスを取りたい企業に向きます。継続的な監視サービスを併せ持つ事業者もあり、診断から運用までを一社でカバーしたい場合の選択肢になります。
自社に合うのはどのタイプか診断する
ここまでのタイプを踏まえ、精度重視かスピード・コスト重視か、社内に対処できる人がいるかなど、いくつかの質問に答えるだけで、自社の状況に合いやすいサービスの候補を絞り込めます。診断範囲やレポートといった詳しい選定軸は、このあとの「選び方」で解説します。
プロのWordPress脆弱性診断サービスの選び方
ここからは、プロ診断サービスを比べるときに見ておきたい観点を整理します。料金の安さだけで選ぶと、必要な範囲が診断されていなかった、ということが起こりがちです。次の軸を自社の状況に当てはめて確認してください。
診断範囲はWordPress（Webアプリ）をカバーしているか
脆弱性診断と一口に言っても、対象はWebアプリケーション・ネットワーク（プラットフォーム）・クラウド設定などに分かれます。WordPressサイトを診てもらいたい場合は、Webアプリケーション診断を提供しているかが最初の確認点です。さらに、プラグイン・テーマ・ログイン周りといったWordPress特有の観点を診断項目に含んでいるかまで見ておくと、目的とのズレを防げます。
ツール自動か、専門家の手動精査が入るか
前述のタイプの違いは、そのまま選定の軸になります。改修のたびに繰り返し回したいなら自動診断型、公開前や重要サイトで深く見たいなら手動精査が入る型、というように、診断の目的と頻度から逆算します。自動と手動のどちらを重視するかで、費用も検出できる範囲も変わります。
報告書と再診断の内容は十分か
診断は「見つけて終わり」ではなく、直して初めて意味を持ちます。見つかった脆弱性の危険度・再現手順・具体的な対策が報告書にまとまっているか、修正後に問題が解消したかを確かめる再診断が含まれるか（無料か有料か）を確認しましょう。社内に対処できる人が少ないほど、報告書の分かりやすさと再診断の有無が効いてきます。
運用負荷と外部依存の度合いは自社に合うか
自動診断ツールを自社で回す形は、内製で継続できる一方、初期の設定や運用に手間がかかります。逆に、診断を丸ごと委託する形は手間が少ない反面、都度の依頼になりコストは上がりがちです。社内にどれだけ人手と知識を割けるかで、ツール導入型と委託型のどちらが続けやすいかが変わります。権限付与が不要で外部から診断できるか、といった実務面も確認しておくと、導入のハードルを見積もりやすくなります。
WordPress脆弱性診断の費用・料金相場
ここでは、WordPress（Webアプリ）の脆弱性診断にかかる費用の相場感を、診断のタイプ別に整理します。料金体系はサービスによって大きく異なり、公式に金額を公開せず個別見積りとする事業者も多いため、以下はあくまで目安として捉えてください（2026年7月時点の各社公表情報にもとづく）。
- ツールによる自動診断（継続利用型）：月額のサブスクリプションが中心で、初期費用0円・月額2万円前後から始められるサービスもあります。繰り返し診断してもコストが積み上がりにくいのが特徴です。
- 専門家による手動診断（スポット型）：診断範囲やページ数に応じた個別見積りが一般的で、公式に料金表を出さない事業者が多い領域です。Webアプリ1サイトの単発診断でも数十万円規模になることがあり、より深く攻撃者目線で検証するペネトレーションテストは数百万円規模に及ぶこともあります。
- 手動＋ツールのハイブリッド：自動と手動の中間で、診断範囲と人手の割合によって幅があります。継続監視サービスを組み合わせる場合は、月額での提供になることもあります。
このほか、WordPressに特化した簡易的な脆弱性診断サービス（外部から権限付与なしで診断でき、数万円程度で提供されるもの）もあります。プラグイン内部や認証後の画面まで踏み込む本格診断には及びませんが、まず現状を把握したい小規模サイトの入口としては選択肢になります。扱う情報の重要度が上がった段階で、本格的なプロ診断へ切り替える使い方も現実的です。
上に触れたペネトレーションテスト（実際に攻撃者目線で侵入を試みる検証）は、対象や検証の深さで費用の桁が大きく変わります。数百万円規模の目安がどう決まるのか、対象・種類別の相場を早見表で確認したい方は、以下の記事が参考になります。
正確な費用は、診断したいページ数・機能・診断方式によって変わります。相場感をつかんだら、候補となるサービスの資料を取り寄せて、料金と診断範囲をセットで見比べるのが確実です。
WordPress脆弱性診断サービスの比較
ここでは、WordPress（Webアプリ）を診断できる主要なサービスを、診断方法のタイプ別に比較します。診断範囲・手動精査の有無・料金の目安・レポートと再診断を横並びにしているので、前述の選び方の軸と照らし合わせながら、自社に合う候補を絞り込んでください。
ツールによる自動診断タイプの比較
| サービス名 | Aikido Security | Securify | AeyeScan | VAddy |
|---|---|---|---|---|
| 提供会社 | 株式会社AndGo （開発元：Aikido Security BV） | 株式会社スリーシェイク | 株式会社エーアイセキュリティラボ | 株式会社ビットフォレスト |
| 診断方法 | ツール自動診断 （11種スキャン統合SaaS） | ツール自動診断 （DAST／自動巡回スキャン） | ツール自動診断 （AI/RPAクローリング） | ツール自動診断 （CI/CD連携・継続診断） |
| WordPress・Webアプリ診断の範囲 | Webアプリ（DAST）＋WordPress等の依存ミドルウェア。ソースコード〜クラウド設定まで横断 | Webアプリ診断（DAST）。WordPress診断モジュールをWebアプリ診断プランに内包 | Webアプリ・SPA・API（オプション）。WordPress製サイトに対応、OWASP Top 10・IPA・ASVS 5.0準拠 | Webアプリ診断。PHPで動くWordPressサイトもWebアプリとして診断可 |
| 手動精査の有無 | ×（自動診断中心） | ×（自動診断中心） | ×（自動診断中心） | △（手動診断はスポットオプション40万円） |
| 料金の目安 | 月額50,000円台〜 （初期費用は要問い合わせ） | 月額5万円〜 （Webアプリ診断STARTER・年額60万円） | 要問い合わせ （One Shot／Business／カスタム） | 初期費用0円 月額19,800〜99,800円 |
| レポート・再診断 | 検出結果を自動トリアージし修正案をPRで自動生成／継続スキャンで再診断 | 診断結果と改善方法を提示／日次・週次・月次のスケジュールで自動再診断 | ガイドライン準拠の診断レポートを出力／契約期間中は診断回数無制限で再診断 | プラン別5〜18項目のレポート（AdvancedはIPAチェックリスト対応）／CI連携で繰り返し再診断 |
| 詳細情報 | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
専門家による手動診断タイプの比較
| サービス名 | セキュリティ診断（NRIセキュア） | 脆弱性診断サービス（MBSD） |
|---|---|---|
| 提供会社 | NRIセキュアテクノロジーズ株式会社 | 三井物産セキュアディレクション株式会社 |
| 診断方法 | 専門家による手動診断 （プロフェッショナル／ハイブリッド方式） | 専門家による手動診断 （＋独自補助ツール併用） |
| WordPress・Webアプリ診断の範囲 | Webアプリ診断（手動）。商用テーマ・独自実装・認証後の画面まで人手で精査。プラットフォーム・API・クラウド等も対応 | Webアプリ診断（手動主体）。通信・認可・セッション・入力・出力・サーバ設定の6分野。WordPressの設定不備や越権アクセスも精査 |
| 手動精査の有無 | ●（有資格の診断員が手作業／ツール併用も選択可） | ●（手動主体＋独自補助ツール） |
| 料金の目安 | 要問い合わせ （診断範囲に応じた個別見積り） | 要問い合わせ （診断範囲に応じた個別見積り） |
| レポート・再診断 | 問題点と対策をまとめた報告書を提供／Webアプリ診断は実施1カ月以内に対策状況を確認 | 問題点と対策をまとめた報告書を提供（再診断は要問い合わせ） |
| 詳細情報 | サービス詳細を見る | サービス詳細を見る |
手動＋ツールのハイブリッドタイプの比較
| サービス名 | GMOサイバーセキュリティ byイエラエ | Vex（脆弱性検査ツール） |
|---|---|---|
| 提供会社 | GMOサイバーセキュリティ byイエラエ株式会社 | 株式会社ユービーセキュア |
| 診断方法 | ハイブリッド （手動診断＋ツール型ASM） | ハイブリッド （DAST自動診断＋シナリオ診断で手動併用） |
| WordPress・Webアプリ診断の範囲 | Webアプリ診断（手動検査中心）。プラグイン・独自実装まで精査。ネットde診断ASMで公開サイトの継続監視も | Webアプリ・API・SPA/Ajax。シナリオ診断で認証後の管理画面や独自フォームも診断範囲に含む |
| 手動精査の有無 | ●（ホワイトハッカーによる手動検査中心） | △（シナリオ診断で手動を併用／診断代行も別途提供） |
| 料金の目安 | 手動診断は個別見積り／ネットde診断ASMは月額40,000円〜（初期費用0円） | 要問い合わせ （年間ライセンス・プラン制） |
| レポート・再診断 | 脆弱性の詳細・対策を報告書で提供／ASMは自動で定期診断・一元管理 | OWASP Top 10・PCI DSS等に沿ったレポートを自動生成／再スキャンで再診断 |
| 詳細情報 | サービス詳細を見る | サービス詳細を見る |
※上記は一般的な傾向です。実際の機能搭載の有無については各社情報をご確認ください。
WordPress脆弱性診断サービスの個別紹介
ここからは、比較表で取り上げた各サービスを、診断方法のタイプごとに個別に紹介します。それぞれの強み・診断範囲・特徴を確認し、資料請求の候補を絞り込む参考にしてください。
ツールによる自動診断タイプ
短時間・低コストで繰り返し診断でき、改修サイクルが速いサイトや内製での継続診断に向くサービスです。
1. Aikido Security（Aikido Security BV／日本提供：株式会社AndGo）
Aikido Securityは、ベルギーのAikido Security BVが開発し、日本では株式会社AndGoが正規代理店として提供する、オールインワン型の脆弱性診断SaaSです。
ソースコードからクラウド設定、実行環境まで、SAST（ソースコードを解析する静的診断）・DAST（動作中のアプリに疑似攻撃を行う動的診断）・SCA（利用ライブラリの既知脆弱性を調べる分析）・CSPM（クラウド設定の点検）など11種類のスキャンを1つの画面に統合しています。
診断対象にはサーバーOSやWordPressといった依存ミドルウェア起因の脆弱性も含まれ、動的スキャン（DAST）で公開中のWebアプリの弱点も確認できます。検出したアラートは自動でトリアージして優先度の低いものを下げ、修正案をプルリクエストとして自動生成する機能も備えます。
日本ではAndGoが日本語での導入・運用支援や請求書払いに対応し、月額5万円台から導入できます（2025年7月のAndGo発表時点）。開発元のAikido Security BVはSOC 2 Type II、ISO/IEC 27001:2022に準拠しています。
WordPressを含むサイトやアプリを自社で内製開発し、開発の早い段階からセキュリティを組み込みたい制作会社・開発チームに向いた構成です。
この「開発の早い段階から組み込む」という考え方について、提供元である株式会社AndGoの原氏は、開発現場でのセキュリティの扱われ方の変化を次のように語っています。
正直なところ、昔は「セキュリティは運用側が最後に何とかするもの」という前提が強かったと思います。ですが今は攻撃の手口も複雑ですし、作ったあとに1回チェックして終わり、では追いつきません。だから開発の初期からセキュリティを組み込むDevSecOps（開発（Dev）、セキュリティ（Sec）、運用（Ops））が現実解になってきていて、Aikido Securityはその“回し方”を作るためのツールだと考えています。
2. Securify（株式会社スリーシェイク）
Webアプリケーションへの自動巡回スキャン（DAST）を中核に、ASM（攻撃対象領域の把握）やクラウド設定管理などを1つに束ねた、国産のクラウド型脆弱性診断プラットフォームです。運営は株式会社スリーシェイクです。
シリーズにはWordPress診断のモジュールが用意されており、Webアプリケーション診断のプランに含まれます。SQLインジェクションやクロスサイトスクリプティングなどを対象に、日次・週次・月次のスケジュールで自動診断を繰り返せるため、プラグイン更新やサイト改修のたびに状態を確かめたい運営者に向きます。
Webアプリケーション診断はSTARTERプランが月額5万円（年額60万円、診断対象1 IP/FQDN・診断回数無制限）から利用できます。最短即日で使える無料トライアルも用意されています。
3. AeyeScan（株式会社エーアイセキュリティラボ）
AIとRPAによる自動クローリングで、セキュリティや開発の専門知識がなくても脆弱性診断を内製化できる、クラウド型のWebアプリケーション診断ツールです。開発・提供元は株式会社エーアイセキュリティラボです。
ブラウザでログインするだけで、RPAが実際の画面遷移をたどり、AIが入力フォームに推定値を入れながらクロールして、診断シナリオを自動生成します。WordPressで作られたサイトやSPA（画面遷移が動的なサイト）にも対応し、OWASP Top 10・IPA・ASVS 5.0（OWASPが定めるアプリケーションのセキュリティ検証標準）などのガイドラインに沿って診断できます。
有償契約は300社以上（公式サイト、2026年6月時点）で、ISO/IEC 27001およびISO/IEC 27017を取得しています。料金はOne Shot（15日間・1サイト）、Business（1年間・サイト数無制限）、カスタムのプラン構成で、詳細は問い合わせが必要です。
4. VAddy（株式会社ビットフォレスト）
開発者がCI/CD（コードの変更を自動でテスト・反映する開発の仕組み）のパイプラインに組み込み、リリースのたびに脆弱性スキャンを繰り返せるクラウド型のWebアプリケーション診断ツールです。株式会社ビットフォレストが提供し、事前研修や複雑な設定なしにブラウザ操作で診断を始められます。
PHPで動くWordPressサイトもWebアプリケーションとして診断でき、SQLインジェクションやクロスサイトスクリプティングなどを検出します。初期費用は0円、月額はProfessional 19,800円・Enterprise 59,800円・Advanced 99,800円と料金が公開されているため、導入コストを事前に見積もれます。
診断項目数はプランで異なり（5／11／18項目）、AdvancedはIPA「安全なウェブサイトの作り方」のチェックリストに標準対応します。1週間の無料トライアルがあり、必要に応じて手動診断のスポットオプション（40万円）も追加できます。改修サイクルの速いサイトを継続的に診断したい制作会社・開発チームに向いた選択肢です。
専門家による手動診断タイプ
有資格の診断員が手作業で精査し、公開前・重要サイトで網羅性と深さを重視したい場合に適したサービスです。
5. セキュリティ診断（NRIセキュアテクノロジーズ株式会社）
野村総合研究所を単一株主とするセキュリティ専業会社、NRIセキュアテクノロジーズが手がけるセキュリティ診断・ペネトレーションテストサービスです。Webアプリケーションからプラットフォーム、スマホアプリ、API、クラウド設定まで、幅広い診断対象を一社でカバーします。
診断の中心に据えるのは、ツール任せにしない専門家のマニュアル診断です。SANS Instituteのトレーニング修了者や、CISSP・OSCP・GIACなどの国際資格を持つ診断員が手作業で精査します。Webアプリケーション診断では、手作業のみで実施するプロフェッショナル方式と、ツールを補助的に併用するハイブリッド方式の2つから選べます。
WordPressサイトでは、公式ディレクトリに情報が出回りにくい商用テーマや独自実装、認証を通過した後の画面まで、人手で踏み込んで確認できる点が診断の深さにつながります。診断後は問題点と対策をまとめた報告書を提供し、Webアプリケーション診断では実施から1カ月以内に対策状況を確認します。料金は診断範囲に応じた個別見積りのため、詳細は問い合わせが必要です。
6. 脆弱性診断サービス（三井物産セキュアディレクション株式会社）
Webアプリケーション診断とネットワーク診断を2001年から手がける、三井物産が100%出資するサイバーセキュリティ専門企業です。脆弱性診断やペネトレーションテストを中心に、スマホアプリやIoT・OTまで幅広い診断メニューを揃えています。
診断は専門家の手動診断を軸に、独自の補助ツールを組み合わせて疑似攻撃を行います。Webアプリケーション診断では、通信・認可・セッション・入力・出力・Webサーバ／フレームワーク設定の6分野を確認し、3,000サイト以上（2017年4月〜2022年3月）の診断実績があります。CVEやJVNへ累計200件以上の新規脆弱性を報告してきた点も、手動診断の裏づけになっています。
運用中のWordPressサイトなら、プラグインやテーマの設定不備、認証後の越権アクセスなど、手作業でこそ見つかる弱点まで踏み込んで確認できます。情報セキュリティ管理のISO/IEC 27001と品質管理のISO 9001を取得しています。料金は診断範囲・対象に応じた個別見積りで、詳細は問い合わせが必要です。
手動＋ツールのハイブリッドタイプ
ツールで広く当てて専門家が精査し、費用と網羅性のバランスを取りたい企業に向くサービスです。
7. GMOサイバーセキュリティ byイエラエ（GMOサイバーセキュリティ byイエラエ株式会社）
ホワイトハッカーを多数擁するGMOサイバーセキュリティ byイエラエが、専門家による手動主体の脆弱性診断・ペネトレーションテストと、ツール型の継続診断「GMOサイバー攻撃ネットde診断 ASM」の2つの形態で提供する脆弱性・セキュリティ診断サービスです。
Webアプリケーション診断は手動検査を中心に据え、静的解析ツールでは見つけにくい脅威まで洗い出します。擬似攻撃で被害リスクを可視化するシナリオ型と、観点を絞らず問題点を洗い出す調査型があり、WordPressのプラグインや独自実装が絡む弱点まで踏み込んで確認できます。
一方のネットde診断 ASMは、外部公開サイトを自動で定期診断し脆弱性を一元管理するSaaSで、自走プランは月額40,000円〜・初期費用0円と公表されています。スポットの手動診断から継続的な攻撃面の監視まで一社でまかなえるため、公開前の精査と運用後の見守りを使い分けたいサイトに向きます。
8. Vex（株式会社ユービーセキュア）
Webアプリケーションを主な対象に、指定したURLへ疑似攻撃リクエストを送りレスポンスを解析して弱点を検出する、DAST方式の脆弱性検査ツールです。開発元の株式会社ユービーセキュアは脆弱性診断の代行サービスも手がけており、診断現場で蓄積した検出ノウハウを検査エンジンに反映しています。
URLを入力するとサイト内を自動巡回してスキャンする一方、シナリオ診断でログイン後の画面や複数ステップの操作を記録・再現でき、API診断にも対応します。ツールによる自動スキャンと人手を組み合わせられるため、WordPressの認証後の管理画面や独自フォームまで診断範囲に含められます。
2026年4月にクラウド版のVexCloudを統合し、Vex Team・Vex Enterprise・Vex Auditorの3プラン構成へ刷新しました。レポートはOWASP Top 10やPCI DSSなどの基準に沿って自動生成でき、無料トライアルも用意されていますので、導入前に自社サイトで使用感を確かめられます。
診断後にやること（修正・WAF・改ざん検知・継続診断）
脆弱性診断は入口であって、ゴールではありません。ここでは、診断で弱点が見つかった後にやるべきことを、修正・継続対策・診断のタイミングの順に整理します。
発見された脆弱性の直し方
報告書で指摘された弱点は、危険度の高いものから順に対処します。基本は、WordPress本体・プラグイン・テーマを最新版に更新すること、使っていないプラグイン・テーマを削除することです。更新で直らない独自実装の問題は、報告書の対策指針にもとづいて改修します。
修正パッチがまだ提供されていない脆弱性が見つかった場合は、パッチを待つ間の暫定策として、該当機能の停止やアクセス制限、後述のWAFによる防御でリスクを抑えます。直したあとは、再診断で問題が解消したことを確認するところまでを一区切りとして考えます。
継続的なセキュリティ対策
脆弱性は次々と公表されるため、一度診断して直せば終わりではありません。日常的には、本体・プラグイン・テーマをこまめに更新し、ログインの保護（強いパスワード・二段階認証・試行回数の制限）を維持します。
あわせて、公開後の未知の攻撃に備えるWAF（Webアプリケーションファイアウォール）で不正なアクセスを遮断し、改ざん検知でサイトの変化を早期に把握し、定期的なバックアップで万一の際に復旧できる体制を整えておくと安心です。
複数のサイトやサブドメインを運用していると、把握しきれていない公開資産がそのまま攻撃の入口になっていることがあります。こうした外部から見える資産を継続的に洗い出して監視する取り組みはASM（アタックサーフェスマネジメント）と呼ばれ、時点ごとに弱点を調べる脆弱性診断とは役割が異なります。両者の違いとどちらから始めるべきかは、以下の記事で整理しています。
診断を実施すべきタイミング
診断を効果的に組み込むタイミングは、大きく3つあります。サイトの新規公開前、大きな機能追加・改修を行ったとき、そして運用中の定期的な実施です。公開前と改修時は新たな弱点が生まれやすく、定期診断は新規に公表された脆弱性や設定変更によるリスクを早期に見つける役割を果たします。改修頻度や扱う情報の重要度に応じて、無理のない周期を決めておくとよいでしょう。
まとめ
WordPressの脆弱性は、本体よりもプラグイン・テーマに集中し、その大半が後から追加した拡張機能に起因します。無料のセルフ診断は現状を手軽に把握する入口として有効ですが、見つけられるのは既知の範囲と外形の設定不備までです。会員情報や決済を扱うサイト、公開前や大改修の節目では、認証後や独自実装まで踏み込むプロの脆弱性診断が力を発揮します。
プロ診断を選ぶときは、WordPress（Webアプリ）を診断範囲に含むか、ツール自動か手動精査か、報告書と再診断は十分か、運用負荷は自社に合うか、という軸で見比べます。費用は診断方式や範囲で幅があるため、相場感をつかんだうえで、複数サービスの料金と診断範囲をセットで比較するのが確実です。
まずは気になるサービスの資料をまとめて取り寄せ、自社のWordPressサイトに合う診断を見つけてください。
よくある質問（FAQ）
Q. WordPress脆弱性診断とは何ですか？
A. WordPress脆弱性診断とは、WordPressで作られたサイトに潜む弱点を洗い出し、危険度と対策の優先順位をつけて確認する取り組みです。
WordPress標準のサイトヘルスやWPScanなどの無料ツールで自分で確認するセルフ診断と、専門の事業者が疑似攻撃を交えて精査するプロの脆弱性診断に大きく分かれます。無料診断は既知の脆弱性や外形の設定不備までを把握でき、プロ診断は認証後の画面や独自実装まで踏み込んで確認できる点が違いです。
Q. WordPress脆弱性診断は無料ツールだけで足りますか？
A. WordPress脆弱性診断を無料ツールだけで済ませてよいかは、扱う情報の重要度とサイトの公開段階によって変わります。問い合わせフォーム程度で個人情報をほとんど扱わず更新も少ないコーポレートサイトなら、サイトヘルスと無料ツールで更新漏れ・設定不備をつぶす運用でも一定の水準は保てます。
一方、会員登録・決済・予約などで個人情報を扱う、独自のプラグインやテーマを開発している、新規公開や大きな改修の直前、取引先からセキュリティ対策を求められている、といった場合は、既知の範囲を超えて診断できるプロ診断の検討をおすすめします。
Q. 無料診断で「問題なし」と出れば、WordPressサイトは安全だと考えてよいですか？
A. 無料診断で問題が出なくても、それは「既知の範囲では見つからなかった」という意味にとどまり、サイトの安全を保証するものではありません。無料ツールが見つけられるのは、すでに公開されている既知の脆弱性と外から見える設定不備までです。
プラグイン内部の作り込みに起因する未知の欠陥、認証を通過した後の画面で起きる問題、独自に開発した機能のロジックの穴などは、公開情報の照合だけでは判断できず、専門的な調査が必要になります。
Q. WordPress脆弱性診断の費用はいくらが相場ですか？
A. WordPress脆弱性診断の費用は、診断方式によって大きく分かれ、ツールによる自動診断なら初期費用0円・月額2万円前後から、専門家による手動診断なら1サイトの単発でも数十万円規模が目安です。
自動診断は月額のサブスクリプション型で繰り返してもコストが積み上がりにくく、手動診断は診断範囲やページ数に応じた個別見積りが一般的で、より深く検証するペネトレーションテストは数百万円規模に及ぶこともあります。正確な費用は診断したいページ数・機能・診断方式で変わるため、候補サービスの資料を取り寄せて料金と診断範囲をセットで見比べるのが確実です。
Q. WordPress脆弱性診断では、プラグインやテーマの弱点も見てもらえますか？
A. プロのWordPress脆弱性診断では、脆弱性が集中するプラグイン・テーマの既知脆弱性や、ログイン画面・XML-RPC・REST APIといったWordPress特有の入り口まで含めて確認できます。
WordPressの脆弱性は本体（コア）よりもプラグイン・テーマに大きく偏って発生するため、診断では導入済みのプラグイン・テーマとそのバージョンを洗い出し、公表されている既知脆弱性と照合します。公式ディレクトリに情報が出回りにくい商用テーマや独自テーマは、手動での確認が効いてきます。
Q. 稼働中のWordPressサイトを診断すると、サイトに負荷や影響は出ませんか？
A. WordPress脆弱性診断がサイトに与える影響は診断方式によって異なり、公開情報だけを確認する非侵入型の簡易診断なら負荷は小さい一方、疑似攻撃を伴うプロ診断は影響が出る可能性があるため実施環境や時間帯の調整が必要です。
URL入力型の無料診断は外形を確認するだけで大きな負荷はかかりません。これに対し、専門家の手動診断やツールによる本格的なスキャンは擬似的な攻撃リクエストを送るため、本番環境と同じ構成の検証環境での実施や、影響範囲の事前確認を事業者と相談しておくと安心です。
Q. WordPress脆弱性診断はどのタイミングで実施するのがよいですか？
A. WordPress脆弱性診断を実施する効果的なタイミングは、サイトの新規公開前・大きな機能追加や改修を行ったとき・運用中の定期的な実施の3つです。
新規公開と改修の直後は新しい弱点が入り込みやすく、定期実施は公表されたばかりの脆弱性や設定変更によるリスクを取りこぼさないための備えになります。脆弱性は次々と公表されるため一度直せば終わりではなく、改修頻度や扱う情報の重要度に応じて無理のない周期を決めておくとよいでしょう。
Q. WordPress脆弱性診断で見つかった脆弱性は、修正まで対応してもらえますか？
A. WordPress脆弱性診断では、多くのサービスが見つかった弱点の危険度・再現手順・対策を報告書にまとめるところまでを担い、実際の修正作業は自社対応か別途依頼になるのが一般的です。
基本の対処は、本体・プラグイン・テーマを最新版に更新し、使っていないものを削除すること、更新で直らない独自実装の問題を報告書の指針にもとづいて改修することです。修正後に問題が解消したかを確かめる再診断が含まれるか、含まれる場合は無料か有料かは、サービスを選ぶ際に確認しておきたいポイントです。
WordPress脆弱性診断サービスの料金・診断範囲を一括チェック
MCB FinTechカタログでは、WordPressにも対応した脆弱性診断サービスの最新資料をワンクリックで一括入手できます。料金・診断範囲・レポート内容を横並びで比較し、自社のサイトに合うサービスの検討にお役立てください。
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修者は記事の内容について監修しています。
