自社サイトをWordPressで運用していて、「WordPressの重大な脆弱性」「PHPの緊急アップデート」といったニュースやサーバー会社からのお知らせを目にし、不安になっていませんか。
2026年の秋だけでも、WordPress本体の更新機能を悪用する遠隔コード実行の脆弱性や、土台となるPHPの重大な脆弱性が相次いで公表されました。米国の政府機関（CISA）も、実際に悪用されている脆弱性として注意喚起を出しています。
専任のセキュリティ担当がいない現場では、「いま危ないのはどの脆弱性なのか」「自分のサイトは影響を受けるのか」「結局、今すぐ何をすればいいのか」がつかみにくいのが実情です。更新してサイトが壊れないか、海外からのアクセスを止めるべきかなど、迷う点も少なくありません。
本記事ではまず、WordPressの脆弱性が「本体・プラグイン/テーマ・PHP」という3つの層で生まれる仕組みを整理します。そのうえで、2026年に実際に悪用が確認された最新の脆弱性、自分のサイトが影響を受けるかの確認方法、今すぐやるべき対策と優先順位までを解説します。
手動で塞ぎきれない範囲を補う脆弱性診断の選択肢や、万一乗っ取られたときの初動も取り上げます。社内での確認や検討の下敷きとしてご活用ください。
目次
一括ダウンロードする
【結論】WordPressの脆弱性にいま確認・対応すべきことの要点
詳しい解説に入る前に、WordPressサイトを運用している方がいま確認・対応すべきことの要点を先にまとめます。いずれも、以降の各セクションで手順と根拠を詳しく解説します。
- WordPress本体を最新版に更新する。2026年には、未認証の攻撃者が遠隔でコードを実行できる重大な脆弱性が本体で相次いで修正されました。自動更新を有効にしていても完了していない場合があるため、管理画面で更新状況を確認します。
- PHPのバージョンを確認し、必要なら更新する。2026年10月にはPHP自体の重大な脆弱性も公表されました。WordPress管理画面の「ツール」＞「サイトヘルス」＞「情報」＞「サーバー」で、使用中のPHPバージョンを確認できます。
- 契約しているサーバー会社（レンタルサーバー等）のお知らせを確認する。PHPの更新や緩和策はサーバー会社側で実施される場合があり、利用者側の対応が案内されていることがあります。
- プラグイン・テーマも最新化し、使っていないものは削除する。公表される脆弱性の多くはプラグインに由来します。
これらの対策の中で最優先は更新です。WordPress公式も、PHPの重大脆弱性について「深刻度が高いため、サイト所有者の皆さんはPHPをすぐに更新してください」と案内しています。以下では、脆弱性の仕組みから順に、根拠とともに具体的な手順を解説します。
そもそもWordPressの脆弱性とは？本体・プラグイン/テーマ・PHPの3層で起きる
WordPressの脆弱性とは、WordPressで構築したサイトが抱える、攻撃者に悪用され得る弱さのことです。ひとくちにWordPressの脆弱性といっても、弱さが生まれる場所は大きく3つの層に分かれます。この3層を区別しておくと、ニュースで脆弱性が報じられたときに「自分はどこを直せばいいのか」を判断しやすくなります。
- WordPress本体（コア）：WordPress自体のプログラムに見つかる脆弱性。影響範囲が広く、修正は本体のアップデートで行います。
- プラグイン・テーマ：機能追加のプラグインやデザインのテーマに見つかる脆弱性。導入数が多いほど弱点も増えます。
- PHP（土台のミドルウェア）：WordPressが動作する土台のプログラミング言語。PHP側の脆弱性はWordPressに限らず、PHPで動くすべてのサイトに影響します。
このうちプラグイン・テーマの層は、公表される脆弱性の件数が最も多い層です。セキュリティ企業のPatchstackによると、2025年にWordPressのエコシステムで新たに公表された脆弱性は11,334件にのぼり、そのうち約9割（91%）がプラグイン、9%がテーマで見つかったものでした。本体で報告された脆弱性は少数です。
このように、本体だけを更新してもプラグイン・テーマの弱点は残るため、3層をまとめて最新に保つ必要があります。
WordPressが狙われやすい3つの理由
WordPressが攻撃の対象になりやすいのには、普及の仕方に根ざした理由があります。
- 利用サイト数が多い：W3Techsの調査では、WordPressは全ウェブサイトの約4割（39.5%）で使われ、CMS（コンテンツ管理システム）の中では約6割（58.2%）のシェアを占めます（2026年11月時点）。利用者が多いほど、攻撃者にとって一つの手口で狙える対象が増えます。
- プログラムが公開されている：WordPressはソースコードが公開されているため、攻撃者も弱点を調べやすい側面があります。
- 専門知識がなくても使える：手軽に構築できる反面、更新やバージョン管理が後回しになり、古いまま放置されたサイトが狙われやすくなります。
脆弱性を放置すると何が起きるか
脆弱性を放置したまま攻撃を受けると、さまざまな被害が生じ得ます。代表的なものは、サイトの改ざん（表示内容の書き換えや不正なコードの埋め込み）、会員情報や問い合わせ内容などの重要情報の漏えい、サーバー上で攻撃者が自由にプログラムを実行する遠隔コード実行（RCE）です。さらに、乗っ取られたサイトが別の攻撃の踏み台として悪用され、自社が加害者側に回ってしまうこともあります。
2026年に本体で修正された脆弱性には、こうした遠隔コード実行につながるものが複数含まれていました（次のセクションで解説します）。
2026年に話題になったWordPressの最新脆弱性（本体RCE・PHP）
ここでは、2026年に実際に悪用が確認された主要な脆弱性を、影響を受けるバージョン・修正版・公表時期とあわせて整理します。以下で取り上げる脆弱性は、いずれも米国CISA（サイバーセキュリティ・インフラセキュリティ庁）が「悪用が確認された脆弱性カタログ（KEV）」に登録しているものです。
このカタログの対応期限は米国の連邦政府機関向けの指示であり、日本の一般のサイト運用者を直接拘束するものではありませんが、「実際に悪用されている」という事実の裏づけになります。まずは下の表で、自社サイトのバージョンが影響範囲に入るかを確認してください。
| 脆弱性 | CVE-2026-119977 （本体・更新処理のRCE） | CVE-2026-87902 （本体・テーマ外PHP読込のRCE） | CVE-2026-60137／63030 （本体・wp2shell） | CVE-2026-109618／109619 （土台のPHPのRCE） |
|---|---|---|---|---|
| 影響を受けるバージョン | WordPress 7.1.4 より前の各系列 （4.7以降が対象・順次バックポート） | WordPress 4.7.0〜7.1.1 | WordPress 6.9.0〜6.9.4／7.0.0〜7.0.1 （60137は6.8.0〜6.8.5も） | 脆弱性のあるPHP系列 （PHP 8.2未満はサポート終了） |
| 修正版 | WordPress 7.1.4 （2026年10月28日） | WordPress 7.1.2 （2026年9月22日） | WordPress 6.9.5／7.0.2 （60137は6.8.6も） | PHP 8.5.12／8.4.27 ほか （2026年10月22日） |
| 公表・悪用状況 | CISA KEV登録 2026年11月3日 | CISA KEV登録 2026年9月25日 | IPA注意喚起 2026年7月22日 CISA KEV登録 2026年7月21日 | CISA KEV登録 2026年10月26日 （WordPress本体の更新は不要） |
※影響を受けるバージョン・修正版・公表時期は各公式リリース／CVEアドバイザリ／IPA／CISA KEVによる（2026年11月時点）。詳細は各項の解説と出典を参照。
WordPress本体の遠隔コード実行（RCE）脆弱性
2026年にはWordPress本体で、未認証の攻撃者が遠隔でコードを実行できる重大な脆弱性が相次いで修正されました。
なかでもCVE-2026-119977は、更新処理の最中にできる一時ファイルの保存先が予測できることを突くもので、脆弱性診断企業のWordfenceはCVSS 8.1（脆弱性の深刻度を10点満点で示す指標。High）と評価し、過去24時間に1万3,000件超の悪用の試みをブロックしたとしています。
CVE-2026-87902はページテンプレートの解決処理を悪用してテーマ外のPHPファイルを読み込ませるもので、一定の条件下で遠隔コード実行に至ります。CVE-2026-60137とCVE-2026-63030は組み合わせることで標準構成のWordPressでも遠隔コード実行に至る可能性があり、「wp2shell」と呼ばれます。
いずれも本体の脆弱性で、該当するバージョンを使っている場合は本体を修正版以降へ更新することが対策になります。
出典・参考資料（6件）
- 出典：Version 7.1.4｜WordPress.org Documentation
- 出典：WordPress 7.1.2 Release（CVE-2026-87902 / GHSA-7hp8-65ch-5whp）｜WordPress News
- 出典：WordPress の脆弱性にご注意ください（CVE-2026-87902）｜さくらインターネット
- 出典：WordPressの脆弱性対策について（CVE-2026-60137、CVE-2026-63030：wp2shell）｜IPA
- 出典：Known Exploited Vulnerabilities Catalog｜CISA
- 参考資料：「WordPress」更新機能のRCE脆弱性 – 悪用に米当局が注意喚起｜Security NEXT
土台となるPHPの重大な脆弱性
2026年10月には、WordPressが動作する土台であるPHPに2件の重大な脆弱性（CVE-2026-109618／CVE-2026-109619）が見つかり、修正版が公開されました。いずれも未認証の攻撃者による遠隔コード実行につながるもので、CISAも悪用確認済みとして登録しています。PHPで動くサーバー全体が対象になるため、WordPressだけの問題ではありません。
重要なのは、この件への対応はPHPの更新であり、WordPress本体の更新ではないという点です。WordPress公式は次のように案内しています。
深刻度が高いため、サイト所有者の皆さんは PHP をすぐに更新してください。この問題のために WordPress を更新する必要はなく、WordPress の更新も予定していません。
出典：PHP の重大なセキュリティリリース（2026年10月21日）｜WordPress.org
PHP本体では、2026年10月22日にPHP 8.5.12・8.4.27などの修正版が公開されています。自社サイトが使っているPHPのバージョンを確認し、利用中の系列に対応する修正版へ更新します。PHP 8.2より前のバージョンにはPHPプロジェクトからのセキュリティ更新がすでに提供されていないため、古いPHPを使い続けている場合はサポートが続くバージョンへの移行を検討します。
契約しているサーバー会社によっては、サーバー側で緩和策を実施したうえで、利用者にPHPバージョンの変更や移行を案内している場合があります。
出典・参考資料（3件）
一方、プラグインやテーマに由来する脆弱性は、本体やPHPのように個別に大きく報じられなくても日々公表されています（件数の多さは前述のとおりです）。更新が止まって久しいプラグインや、公式ディレクトリ以外から入手したテーマは特に注意が必要で、導入しているものに弱点があればそこが侵入口になります。自社の状況を確認する方法は、次のセクションで解説します。
自分のサイトが影響を受けるか確認する方法
ここからは、自社サイトが上記の脆弱性の影響を受けるかどうかを、自分で確認する方法を解説します。確認する場所が分かれば、ニュースで脆弱性が報じられるたびに落ち着いて自己点検できます。
管理画面「サイトヘルス」でPHP・WordPressのバージョンを確認する
WordPress管理画面の「ツール」＞「サイトヘルス」＞「情報」＞「サーバー」を開くと、サイトが使っているPHPのバージョンを確認できます。ホスティング会社（サーバー会社）の管理画面でも確認できることが多くあります。WordPress本体のバージョンは、管理画面のダッシュボードや「更新」画面で確認できます。
確認したバージョンを、前のセクションで挙げた影響を受けるバージョンや、PHP 8.2より前かどうかと照らし合わせます。
出典・参考資料（2件）
本体・プラグイン・テーマの現バージョンを確認する
管理画面の「更新」画面を開くと、本体・プラグイン・テーマそれぞれに更新があるかどうかが一覧で分かります。更新可能なものが残っていれば、脆弱性が修正されていない状態の可能性があります。ただし、自動更新を有効にしていても、何らかの理由で更新が完了していない場合があるため、自動更新任せにせず管理画面で更新状況を確認することが大切です。これはさくらインターネットも注意喚起の中で指摘している点です。
脆弱性情報データベース（WPScan・JVN）で照合する
使っているプラグインやテーマに既知の脆弱性がないかを、脆弱性情報データベースで照合することもできます。WordPress専門の脆弱性データベースであるWPScanや、日本語で参照できるJVN（Japan Vulnerability Notes）で、プラグイン名やバージョンから既知の脆弱性を調べられます。
導入しているプラグインが多い場合は、後述する脆弱性診断サービスでまとめて点検する方法も選択肢になります。
一括ダウンロードする
WordPressの脆弱性に今すぐやるべき対策と優先順位
ここからは、確認の結果を踏まえて今すぐやるべき対策を、優先順位の高い順に解説します。基本の考え方は「更新が最優先で、WAF（Webアプリケーションファイアウォール）やサーバー会社の緩和策は補助」です。
①本体・PHP・プラグイン・テーマを最新化する（最優先）
最も効果が大きい対策は、脆弱性が修正されたバージョンへ更新することです。WordPress本体・プラグイン・テーマは管理画面から更新します。PHPは多くのレンタルサーバーで管理画面の「PHPバージョン切替」などのメニューから変更でき、手順が分からなければ契約先のサーバー会社に問い合わせます。
更新でサイトの表示や機能に不具合が出ないか心配な場合は、事前にバックアップを取り、可能であればテスト環境で確認してから本番に適用すると安全です。
それでも、脆弱性を放置するリスクに比べれば、速やかに更新することの価値は大きいといえます。
②契約中のサーバー会社の対応・WAF適用状況を確認する
PHPの脆弱性などでは、サーバー会社が緩和策を実施し、利用者に対応を案内している場合があります。たとえばカゴヤ・ジャパンは、PHPの脆弱性（CVE-2026-109618／CVE-2026-109619）に対して対象プランで緩和策を順次実施しました。そのうえで、根本的な対策としてはレンタルサーバープランの変更や脆弱性対策済みのPHPバージョンへの移行が必要だと案内しています。
自社が契約しているサーバー会社のお知らせを確認し、利用者側で必要な対応がないかを把握します。
出典・参考資料（1件）
③未使用プラグイン・テーマの削除と、ログイン周りの強化
使っていないプラグイン・テーマは、無効化するだけでなく削除します。残っていれば、そこに脆弱性があった場合の侵入口になり得るためです。あわせて、管理者アカウントの見直し、推測されにくいパスワードの設定、二段階認証の導入、定期的なバックアップといった基本的な備えを整えておくと、万一の際の被害や復旧の負担を減らせます。
④WAF・サーバー会社の緩和策は補助層として使う
WAFや、サーバー会社が実施する緩和策は、攻撃を受けにくくする有効な手段です。ただし、これらは脆弱性そのものを修正するものではありません。カゴヤ・ジャパンも緩和策について「脆弱性そのものを修正するものではなく、攻撃に使われる入口をふさいだり、攻撃に利用できるデータ量や複雑さを制限したりすることで、攻撃を受けにくくする対策」と説明しています。
WAFや緩和策は更新までの時間を稼ぐ補助層と位置づけ、根本の対策である更新を必ず行うことが重要です。
WordPressの脆弱性対策でやりがちな判断ミス（非エンジニアが避けたい3つ）
不安から急いで対応すると、かえって的外れな手を打ってしまうことがあります。専任担当がいない現場でやりがちな判断ミスを3つ取り上げます。
①海外アクセスを全面遮断して「対策した」とみなす
攻撃元として海外のIPが多いことから、海外からのアクセスをすべて遮断して安心してしまうケースがあります。しかし、これは脆弱性そのものを塞ぐものではなく、国内を経由した攻撃や、海外の正規利用者の締め出しといった副作用もあります。アクセス制限は補助的な手段にとどめ、根本の更新を優先します。
②WAFを入れたから安心だと考える
WAFの導入で安心し、更新を後回しにしてしまうのもよくある判断ミスです。前のセクションで述べたとおり、WAFは攻撃を受けにくくする補助層であり、脆弱性そのものは残ったままです。WAFを入れても、修正版への更新は別途必要です。
③PHPの脆弱性なのにWordPress本体を無理に更新しようとする
「WordPressの脆弱性」と報じられても、原因が本体なのかPHPなのかで、やるべきことは変わります。前述のとおり、2026年10月のPHPの重大脆弱性ではWordPress公式が本体の更新は不要と案内しており、必要なのはPHPの更新です。本体を慌てて更新しても、この問題の対策にはなりません。本体・プラグイン/テーマ・PHPの3層を区別しておくと、こうした取り違えを避けられます。
すぐに対策を講じられない場合の考え方として、英国のNCSC（国家サイバーセキュリティセンター）は、完全に緩和できるまでシステムをオフラインにすることの検討を助言しており、WordPress公式もこれを引用しています。
万一乗っ取られたかもしれないときの初動
サイトに見覚えのない投稿や管理者アカウントがある、意図しない海外向けページが増えている、検索結果やブラウザで警告が表示される、サーバーから不審な通信が出ているといった症状があれば、乗っ取りを疑います。慌てて復旧だけを急ぐと原因が残ったままになりやすいため、落ち着いて次の順序で対応します。
- 被害範囲の記録とログの保全（後から原因を追えるように、まず状況を保存する）
- サイトの隔離（公開を一時停止し、被害の拡大と踏み台化を止める）
- すべてのパスワードの変更（管理画面・FTP・データベース・サーバー）
- 本体・プラグイン・テーマ・PHPの更新（侵入口となった脆弱性を塞ぐ）
- 感染前のクリーンなバックアップからの復元
- 侵入経路の確認と再発防止（どの弱点から入られたかを特定する）
- 手に負えない場合は、専門の事業者やセキュリティ機関に相談する
個人情報の漏えいが疑われる場合は、法令にもとづく報告が必要になることもあります。被害の確認と原因特定を自社だけで進めるのが難しいときは、次に紹介する脆弱性診断や、侵害対応（フォレンジック）に対応する事業者への相談が選択肢になります。
手動の更新・確認で塞ぎきれない範囲は脆弱性診断で補う
ここまで解説した更新と自己点検は、WordPressの脆弱性対策の基本です。ただし、手動の更新・目視の確認だけでは塞ぎきれない範囲もあります。たとえば、独自に追加した機能やカスタマイズ部分、設定の不備、複数のプラグインが組み合わさったときに生じる問題、日々新たに公表される脆弱性への継続的な追従などは、一覧の更新チェックだけでは見落としが起きやすい領域です。
こうした範囲を補うのが脆弱性診断です。脆弱性診断には、ツールが自動でサイトを巡回して検査する方式と、専門家が手動で深く検査する方式があります。WordPress（PHPで動くWebアプリケーション）を診断対象として対応できるサービスを選べば、自社で気づきにくい弱点の洗い出しや、リリースのたびの継続的な点検ができます。
すべてのサイトで有料の診断が必要なわけではありません。まずは本体・プラグイン・PHPの更新と、無料ツール（WPScanなど）を含む自己点検で対応し、独自実装が多い・個人情報を扱う・手に負えないと感じる範囲を診断で補う、という順序で考えると無理がありません。以下は、ツール型の継続診断から専門家による手動診断まで、料金帯や運用スタイルの異なる選択肢です。
WordPressサイトに絞って診断を検討する場合は、まず無料ツールとプロの診断で何がどこまで分かるのか、費用の目安はどのくらいかを押さえておくと選びやすくなります。以下の記事で、WordPress向けの脆弱性診断について無料ツールとの違い・費用相場・選び方を整理しています。
WordPress脆弱性診断の選び方｜無料ツールとの違い・費用相場・プロ診断サービス比較
WordPressでサイトを運営していると、「うちのサイトに脆弱性は残っていないだろうか」という不安がふとよぎります。プラグインやテーマは便利に追加できる一方で、それぞれが攻撃の入り口になり得ます。無料の診断ツールを試してはみたものの、「こ…
WordPress（Webアプリ）を診断できる主なサービスの比較
以下は、WordPressを含むWebアプリケーションを診断できる脆弱性診断サービスの比較表です。診断方式・WordPressへの対応・料金形態を並べて確認できます。
| サービス名 | Securify | AeyeScan | VAddy | GMOサイバーセキュリティ byイエラエ | NRIセキュア |
|---|---|---|---|---|---|
| 診断方式 | ツール自動診断（DAST） | ツール自動診断（AI巡回） | ツール自動診断（CI/CD型） | ハイブリッド（手動＋ツールASM） | 手動主体（ハイブリッド） |
| WordPress（Webアプリ）診断 | ◎WordPress診断メニューあり | ●Webアプリ診断で対応 | ●Webアプリ診断で対応 | ◎ASMでWordPress（CMS）診断 | ●Webアプリ診断で対応 |
| 継続診断（繰り返し実行） | ●スケジュール・API実行 | ●スケジュール・CI/CD連携 | ●CI/CD・cron（回数無制限） | ●ツールASMで継続監視 | △受注型（都度診断が中心） |
| 料金の目安 | 月額5万円〜 | 要問い合わせ（回数無制限の定額制） | 月額19,800円〜（初期費用0円） | 要問い合わせ（ツールASMは月額4万円〜） | 要問い合わせ （大規模・監査向けの個別見積） |
| 無料トライアル | ●最短即日 | ●2サイトで試用可 | ●1週間 | ×記載なし | ×なし（受注型） |
| 詳細情報 | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
※診断方式・対応範囲・料金・無料トライアルの有無は2026年11月時点の各社公式情報・掲載情報による。最新の内容は各サービスの資料・公式情報をご確認ください。
1. Securify（株式会社スリーシェイク）
株式会社スリーシェイクが提供するクラウド型（SaaS）の脆弱性診断サービスです。Webアプリ・APIの脆弱性診断に加え、攻撃対象領域管理（ASM）やCSPM（クラウド設定の点検）などを備え、公式の機能紹介には「WordPress診断」が独立したメニューとして挙げられています。
専門家の手動診断に頼らず、ブラウザから自動巡回スキャン（DAST）をスケジュール実行して継続的に点検できるため、WordPressサイトを内製で継続的に検査したい事業者に向いています。
2. AeyeScan（株式会社エーアイセキュリティラボ）
株式会社エーアイセキュリティラボが開発・提供する、クラウド型のWebアプリケーション脆弱性診断ツールです。専用サーバーの構築やソフトのインストールは不要で、ブラウザからログインして診断を始められます。AIや自動巡回の技術でサイトを自動的に検査する方式のため、専門知識がなくてもWordPressサイトを継続的に点検しやすいのが特徴です。
WordPressの脆弱性についての解説コンテンツも自社で発信しており、運用担当者が診断の内製化を進めたい場合の選択肢になります。
3. VAddy（株式会社ビットフォレスト）
開発・リリースの工程に組み込んで、Webアプリを繰り返し自動スキャンできるクラウド型の脆弱性診断ツールです（提供は株式会社ビットフォレスト）。ユーザー自身が診断対象を検査する方式で、改修のたびの継続診断に向いています。初期費用は0円で、スキャン回数は無制限のサブスクリプション型のため、WordPressサイトを改修のたびに低コストで継続診断したい制作会社・開発者に向いています。
4. GMOサイバーセキュリティ byイエラエ（GMOサイバーセキュリティ byイエラエ株式会社）
国内のホワイトハッカーを多数擁するサイバーセキュリティ専門企業です。専門家による手動主体の脆弱性診断・ペネトレーションテストを中核に、ツール型で継続的に攻撃対象領域を監視する「GMOサイバー攻撃ネットde診断」などを提供しています。手厚い手動診断から継続的な監視まで一社で対応できるため、重要なWordPressサイトを専門家の目で深く検査したい場合や、継続監視と組み合わせたい場合に適しています。
5. セキュリティ診断（脆弱性診断・ペネトレーションテスト）／NRIセキュア（NRIセキュアテクノロジーズ株式会社）
NRIグループのセキュリティ専業会社が提供する、専門家による手動主体のセキュリティ診断・ペネトレーションテストサービス群です。Webアプリケーションをはじめ、プラットフォーム、API、クラウド設定、ソースコードまで幅広い診断対象をカバーし、国際資格を持つ専門家が攻撃者視点で深く検査します。
公開前の重要なWordPressサイトや、監査・調達で第三者評価の報告書が求められる場面で、網羅性と深さを重視したい場合に向いています。
まとめ
WordPressの脆弱性は、「本体・プラグイン/テーマ・PHP」の3つの層で生まれます。2026年には本体の遠隔コード実行やPHPの重大な脆弱性が相次いで公表され、いずれも実際に悪用が確認されています。まずは管理画面の「サイトヘルス」などで自社サイトのバージョンを確認し、本体・プラグイン・テーマ・PHPを最新に保つことが最優先の対策です。
WAFや海外アクセス制限は補助であり、更新の代わりにはなりません。
手動の更新・確認だけでは塞ぎきれない範囲は、WordPress（Webアプリケーション）に対応した脆弱性診断サービスで補えます。自社の運用体制に合わせて、ツール型の継続診断と専門家による手動診断を使い分けるとよいでしょう。
WordPressに限らず自社サイト・システム全体の脆弱性診断を検討したい方は、以下の記事で診断方法・費用相場・選び方を詳しく解説しています。サービスを比較して導入を検討する際の下敷きとしてご覧ください。
脆弱性診断サービスおすすめ比較｜診断方法・費用相場・選び方を解説【無料ツールあり】
Webサービスや社内システムの脆弱性診断を検討する際、「専門家による手動診断とツールによる自動診断のどちらが自社に必要なのか」「費用が数十万円から数百万円までと幅が広く、妥当な予算が読めない」といった壁に突き当たる担当者は少なくありません。…
一括ダウンロードする
よくある質問（FAQ）
Q. WordPressの脆弱性とは何ですか？
A. WordPressの脆弱性とは、WordPressで構築したサイトが抱える、攻撃者に悪用され得るセキュリティ上の弱さのことです。その弱さは「WordPress本体（コア）」「プラグイン・テーマ」「土台となるPHP」という3つの層で生まれ、公表される件数が最も多いのはプラグイン・テーマの層です。
どの層が原因かによって更新すべき対象（本体か、PHPか、プラグイン/テーマか）が変わるため、3層を区別して把握しておくと対処を誤りにくくなります。
Q. WordPressの脆弱性を放置すると、どのようなリスクがありますか？
A. WordPressの脆弱性を放置したまま攻撃を受けると、サイトの改ざん、会員情報や問い合わせ内容などの重要情報の漏えい、サーバー上で攻撃者がプログラムを自由に実行する遠隔コード実行（RCE）といった被害につながります。さらに、乗っ取られたサイトが別の攻撃の踏み台として悪用され、自社が加害者側に回ってしまうこともあります。
2026年に実際に悪用が確認されたWordPress本体やPHPの脆弱性にも、遠隔コード実行につながるものが含まれていました。
Q. WordPressの更新をすると、サイトが壊れないか心配です。安全に更新する方法はありますか？
A. WordPressの更新でサイトが壊れるリスクは、事前にバックアップを取り、可能であればテスト環境で確認してから本番に適用することで抑えられます。不具合を心配して更新を先延ばしにする方は少なくありませんが、脆弱性を放置するリスクに比べれば、速やかに更新する価値の方が大きいといえます。
自動更新を有効にしていても何らかの理由で完了していない場合があるため、管理画面の「更新」画面で状況を確認しておくと確実です。
Q. 自社サイトのPHPのバージョンは、どこで確認できますか？
A. 自社サイトのPHPバージョンは、WordPress管理画面の「ツール」＞「サイトヘルス」＞「情報」＞「サーバー」で確認できます。契約しているサーバー会社（レンタルサーバー等）の管理画面でも確認できることが多くあります。確認したバージョンが、セキュリティ更新がすでに提供されていないPHP 8.2より前になっていないか、利用中の系列の修正版へ更新されているかを照らし合わせます。
Q. 脆弱性が多いなら、WordPressは今すぐやめた方がいいですか？
A. 脆弱性が公表されていること自体を理由に、WordPressを今すぐやめる必要は基本的にありません。脆弱性はWordPressに限らずあらゆるソフトウェアに存在し、本体・プラグイン・テーマ・PHPを最新に保つことで、報告された脆弱性の多くは塞げます。本質的に重要なのは「仕組みの名前を変えること」よりも「誰が責任を持って更新と確認を続けるか」を決めることです。
乗り換えを検討する場合も、更新・運用の体制を見直したうえで判断するのが現実的です。
Q. WordPressの脆弱性対策は、自社での更新や確認だけで十分ですか？脆弱性診断は頼むべきですか？
A. 基本的な脆弱性対策は自社での更新と確認で対応できますが、独自に追加した機能やカスタマイズ部分、設定の不備、複数のプラグインが組み合わさって生じる問題などは、手動の更新・目視だけでは塞ぎきれないことがあります。こうした範囲を補うのが脆弱性診断で、ツールが自動でサイトを巡回して検査する方式と、専門家が手動で深く検査する方式があります。
独自開発を含むサイトや公開前の重要なサイトでは、WordPress（Webアプリケーション）に対応した脆弱性診断の利用を検討するとよいでしょう。
Q. 制作会社として納品したWordPressサイトの安全性を、顧客にどう示せばいいですか？
A. 制作会社として安全性を示すには、本体・プラグイン・テーマ・PHPを最新に保つ運用（保守）の内容を明示したうえで、第三者による脆弱性診断の報告書を提示するのが分かりやすい方法です。「誰が・どの頻度で更新と確認を行うか」を保守の取り決めとして文書化し、公開前や改修時に脆弱性診断を実施して結果を共有すると、客観的な根拠をもって安全性を説明できます。
監査や調達で第三者評価が求められる場合は、報告書を発行できる診断サービスを選ぶと対応しやすくなります。
脆弱性・セキュリティ診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、WordPressを含むWebサイトの脆弱性診断サービスの最新資料を無料で一括請求できます。診断方式（ツール自動・手動・ハイブリッド）、対応範囲、料金体系、報告書の粒度などを比較検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
