「WordPressは脆弱性が多い」「危ない」「もうオワコンではないか」——自社サイトをWordPressで運用していると、こうした話を見かけて不安になることがあります。実際、WordPress関連で報告される脆弱性の件数は、年々増えています。
ただし、その中身を分けて見ると様子が変わります。報告される脆弱性の大半は、WordPress本体ではなく、後から追加するプラグインやテーマに集中しています。本体そのものが欠陥だらけになっている、というわけではありません。更新などの運用を続けられるかぎり、過度に恐れて乗り換える必要はありません。
本記事では、WordPressに脆弱性が多いと言われる理由を、公開されている統計の数字とともに整理します。そのうえで、自社サイトが危ない状態かを見分ける方法、優先順位をつけた対策、自分でできる確認手段、自力で対応しきれないときの脆弱性診断サービスの選択肢、そしてWordPressを使い続けるべきか・乗り換えるべきかの判断材料まで解説します。
目次
一括ダウンロードする
WordPressの脆弱性は本当に多い？件数は多いが約9割はプラグイン由来、本体は年数件
ここからは、WordPressの脆弱性が「多い」と言われる実態を、件数の内訳から確認します。脆弱性とは、プログラムの不具合や設定上の弱点のうち、攻撃に悪用されうるものを指します。結論から言えば、報告される件数は確かに多いものの、その大半はWordPress本体ではなくプラグインやテーマに集中しており、本体そのものに見つかる脆弱性は年に数件の規模です。
本体コア・プラグイン・テーマ別の脆弱性件数
まず、報告件数がどこに集中しているかを数字で見てみます。セキュリティ企業のPatchstackとWordfenceは、それぞれ年次でWordPressの脆弱性を集計しています。集計した年も主体も異なりますが、どちらも「本体コアに見つかる脆弱性は年に数件で、大半はプラグインが占める」という同じ傾向を示しています。
| 調査別の脆弱性件数 | Patchstack | Wordfence |
|---|---|---|
| 対象年 | 2025年 | 2024年 |
| 新規脆弱性の総数 | 11,334件 | 8,223件 |
| プラグイン | 91% | 96% （脆弱性のあるソフト種別に占める割合） |
| テーマ | 9% | — |
| 本体コア | 6件（低優先度） | 5件 |
※各社の年次レポートの公表値。Patchstackの割合は報告総数に占める比率で、本体コアはその中のごく一部（実件数で表示）。Wordfenceの96%は「脆弱性が見つかった製品種別」に占めるプラグインの比率で、Patchstackとは算出基準が異なります。集計年・集計主体は表のとおり。
出典・参考資料（2件）
Patchstackの集計では、2025年に報告された新規脆弱性11,334件のうち、91%がプラグイン、9%がテーマで見つかっており、WordPress本体コアは6件にとどまります。Wordfenceが集計した2024年の8,223件でも、本体コアは5件のみでした。
「WordPressは脆弱性が多い」という話の中身は、その多くが「後から追加するプラグインやテーマの脆弱性が多い」であり、本体を使い続けること自体が危険という意味ではありません。
また、Patchstackは、有料（プレミアム）のプラグイン・テーマのほうが、無料のものより悪用が確認された脆弱性（KEV）の数が約3倍多かったとも報告しています。有料だから安全とは限らず、更新とサポートが続いているかで判断する必要があります。
なぜ狙われ、なぜ報告件数が多いのか
報告件数が多い背景には、WordPressの普及度の高さがあります。W3Techsの調査では、WordPressは全世界のWebサイトの39.5%、CMSを使っているサイトに限ると58.2%で利用されています（2026年11月時点）。利用者が多いほど攻撃側にとって費用対効果が高く、一つの手口が広く通用するため、標的にされやすくなります。
加えて、WordPressはオープンソースで、誰でもプラグインやテーマを開発・公開できます。手軽に機能を足せる反面、開発者のセキュリティ意識や更新の継続性にはばらつきがあり、品質の低い拡張や、更新が止まった拡張が脆弱性の入り口になります。専門知識がなくても運用できる手軽さゆえに、更新や不要な拡張の整理が後回しになりやすい点も、報告件数の多さにつながっています。
本体コアにも稀に重大な脆弱性は出る（wp2shellの例）
一方で、本体コアが常に安全というわけでもありません。2026年7月に公表された本体の脆弱性「wp2shell」（CVE-2026-63030ほか）は、認証なしでリモートコード実行につながりうる深刻度の高いもので、共通脆弱性評価システムCVSSで9.8（Critical）と評価されました。
影響を受けるのはWordPress 6.9.0〜6.9.4および7.0.0〜7.0.1で、WordPress.orgは修正版（6.9.5／7.0.2）を強制的な自動更新で配布しています。本体であっても、更新を受け取れる状態を保つことが前提になります。
あなたのサイトは「危ない状態」か「大丈夫な状態」か
ここからは、自社のWordPressサイトが危険にさらされやすい状態かどうかを、具体的な項目で確認します。脆弱性の多くはプラグインやテーマ、古いPHPに起因するため、放置や管理不足がそのまま危険度につながります。
危ない状態の要因を自分に当てはめる
以下は、自社サイトの状態を判断するための目安です。「危ない状態」に当てはまる項目が多いほど、攻撃を受けたときに被害につながりやすくなります。
| サイトの状態チェック | 本体・プラグイン・テーマの更新 | 使っていないプラグイン・テーマ | PHPのバージョン | ログイン認証 | バックアップ |
|---|---|---|---|---|---|
| 危ない状態 | 数ヶ月以上、更新せず放置している | 停止したまま残している／数を把握していない | サポート終了済みの古い版で動いている | 推測されやすいID・パスワードのみ | 取得していない／復元を試したことがない |
| 大丈夫な状態 | 自動更新、または定期的に更新している | 使わないものは削除している | 提供元がサポートする版に保っている | 強固なパスワードと二段階認証を設定している | 複数世代を自動取得し、復元手順も確認済み |
※一般的な運用上の目安です。実際の対応は各サイトの構成や要件に応じてご判断ください。
放置するとどうなるか——「個人情報を扱っていないから大丈夫」ではない
「うちは個人情報を扱っていないから狙われない」と考えがちですが、攻撃の目的は情報の窃取だけではありません。脆弱性を悪用されると、たとえば次のような被害が起こりえます。
- サイトの改ざん：ページの内容を書き換えられ、閲覧者を危険なサイトへ誘導される
- 踏み台化：自社サイトが、他サイトへの攻撃やスパム配信の中継地点として悪用される
- 情報の持ち出し：問い合わせフォームや会員機能を通じて保持しているデータを抜き取られる
前述のwp2shell（CVE-2026-63030）のように、認証なしでリモートコード実行が可能な脆弱性を悪用されると、攻撃者にサイトの制御そのものを奪われます。この状態では、改ざんも踏み台化もデータの持ち出しも起こりえます。個人情報の有無にかかわらず、サイトを公開している以上、脆弱性への備えは必要です。
一括ダウンロードする
優先順位をつけた脆弱性対策チェックリスト
ここからは、具体的な対策を優先順位の高い順に整理します。上から順に取り組めば、WordPressサイトの脆弱性リスクを現実的に減らせます。
まず今日やること：更新と不要な拡張の削除
最優先は更新です。脆弱性の多くはプラグイン・テーマにあり、その修正は更新で配布されます。WordPress本体・プラグイン・テーマを最新に保ち、可能なものは自動更新を有効にしましょう。表示崩れが心配な重要サイトでは、検証環境で確認してから適用すると安全です。
次に、使っていないプラグイン・テーマの削除です。停止しただけではファイルがサーバーに残り、脆弱性の入り口になりえます。使わないものは停止ではなく削除しましょう。あわせて、サイトを動かすPHPも、提供元がサポートする版に更新しておくと安心です。
次に固める：認証・ログイン・WAF・バックアップ
更新の次は、侵入そのものを防ぐ・被害を抑える対策です。ログインを狙う総当たり攻撃に備え、推測されにくいパスワードに変更し、二段階認証を導入しましょう。ログインの試行回数を制限すると、総当たりの効率をさらに下げられます。
加えて、不正な通信を遮断するWAF（Webアプリケーションファイアウォール）の利用や、万一改ざん・消失した場合に戻せる複数世代のバックアップも有効です。バックアップは取得するだけでなく、実際に復元できるかを一度試しておくと、いざというときに慌てずに済みます。
脆弱性が見つかった・修正版が無いときの対処
使っているプラグインに脆弱性が見つかった場合は、まず影響範囲を確認し、修正版が出ていればすぐに更新してください。修正版がまだ提供されていないときは、該当するプラグインを一時的に無効化し、代替手段を検討しましょう。更新が長期間止まっているプラグインは、この機会に削除・乗り換えを検討するのが安全です。
自分のサイトの状態を確認する方法
ここからは、自社サイトの状態を自分で確認する手段を紹介します。いずれも無料で始められ、まず現状を把握するのに役立ちます。
サイトヘルス（WordPress標準機能）
WordPressには、サイトの状態を診断する「サイトヘルス」が標準で備わっています。管理画面の「ツール」→「サイトヘルス」から確認でき、古いPHPで動いている、更新待ちのプラグインがある、といった項目を、WordPress自身が「セキュリティ」として警告します。「情報」タブの「サーバー」では、現在のPHPバージョンも確認できます。まず最初に開くべき画面です。
WPScan・無料の脆弱性スキャン
WPScanは、WordPress本体・プラグイン・テーマの既知の脆弱性を収録したデータベースと、サイトのスキャン機能を提供しています。脆弱性DBの登録件数は9万件を超えます（2026年11月時点）。
同社の無料プラグイン「Jetpack Protect」はこのデータを使い、自社サイトで使っているプラグインに既知の脆弱性がないかを手軽に確認できます。プラグインとして導入・有効化すると、使用中の本体・プラグイン・テーマに既知の脆弱性がないかが一覧で表示されます。
JVN iPedia・CVEで脆弱性情報を調べる
使っているプラグインやソフトの脆弱性情報を調べたいときは、情報処理推進機構（IPA）がJPCERTコーディネーションセンターと運営する脆弱性データベース「JVN iPedia」が、製品名などから日本語で検索できます。英語でよければ、脆弱性の共通識別子を管理するCVE.orgや、米国のNVD（National Vulnerability Database）でも確認できます。
JVN iPediaは一時的にサービスを停止している場合があります。利用できないときは、CVE.orgやNVD、前述のWPScanのデータベースで代替できます。
ここまでが、自分で無料でできる範囲の確認です。より踏み込んで、認証後の画面や独自に開発した機能まで検査したい場合や、自力での対応が難しい場合は、専門の脆弱性診断サービスを利用する選択肢があります。
WordPressに絞って、無料の診断ツールで分かること・分からないことの違いや、プロの脆弱性診断サービスに頼む場合の費用相場・選び方まで知りたい場合は、以下の記事で詳しく解説しています。
WordPress脆弱性診断の選び方｜無料ツールとの違い・費用相場・プロ診断サービス比較
WordPressでサイトを運営していると、「うちのサイトに脆弱性は残っていないだろうか」という不安がふとよぎります。プラグインやテーマは便利に追加できる一方で、それぞれが攻撃の入り口になり得ます。無料の診断ツールを試してはみたものの、「こ…
自力で対応しきれないとき：脆弱性診断サービスという選択肢
多くの小規模なサイトは、ここまでの更新・不要な拡張の削除・無料ツールでの確認で十分です。一方、ログイン後の画面や独自に開発した機能があり自力での対応が難しい、あるいは継続的に検査を任せたい場合は、第三者の脆弱性診断サービスという選択肢があります。
選ぶときは、WordPress本体やプラグインが使うPHP・ライブラリ、サーバーOSといった「依存ミドルウェア」由来の脆弱性まで検査できるかを確認すると、無料ツールだけでは見つけにくい弱点も洗い出せます。
運用のしかたは、自分で操作して回す自動診断型と、専門家の手動診断を中心に任せる委託型に分かれます。自社で手を動かせるか人に任せたいかも、以下の比較表の診断方式を見ながら選ぶ目安になります。
| サービス名 | Aikido Security | Securify（セキュリファイ） | Cloudbric脆弱性診断 |
|---|---|---|---|
| 提供会社 | 株式会社AndGo（日本窓口） | 株式会社スリーシェイク | ペンタセキュリティ株式会社 |
| 診断方式 | 自動（SaaS） コード・クラウド・アプリを一元検査 | 自動（SaaS） 自動巡回スキャン・スケジュール実行 | ハイブリッド 専門家の手動診断＋ツール |
| 依存ミドルウェア（PHP・OS等）の検査 | ●（WordPress・OSなど依存ミドルウェア、依存ライブラリまで検査） | ●（WordPress診断に対応、SBOMでライブラリを検査） | ●（WordPress・ミドルウェア・OSを検査） |
| 主な診断範囲 | ソースコード（SAST/SCA） クラウド設定（CSPM） Webアプリ（DAST） 依存ミドルウェア・OS | Webアプリ・API ASM・CSPM・SBOM WordPress診断 | Webサイト・Webアプリ・API プラットフォーム（ミドルウェア・OS） スマホアプリ・ペネトレーションテスト |
| 料金 | 年額3,780ドル〜（月額5万円台相当） | 月額5万円〜（年間60万円〜） | 要問い合わせ |
| 無料で試せるか | ●（無料プランあり） | ●（無料トライアル） | ×（記載なし） |
| 詳細情報 | 公式資料を見る | サービス詳細を見る | サービス詳細を見る |
1. Aikido Security（株式会社AndGo）
Aikido Securityは、ソースコード・依存ライブラリ・クラウド設定・コンテナ・稼働中のWebアプリを一つの管理画面で検査するSaaSです。日本では株式会社AndGoが販売・問い合わせの窓口を担っています。
検査対象は、コードの書き方に起因する弱点（SAST）、外部の依存ライブラリの脆弱性（SCA）、クラウド側の設定ミス（CSPM）に加え、サーバーOSやWordPressなど依存ミドルウェア起因の脆弱性にも及びます。
何を検査するのかについて、日本窓口を務める株式会社AndGoの原氏は、MCB FinTechカタログのインタビューで次のように説明しています。
まず1つ目が、ソースコードの診断です。コードの書き方が原因で、攻撃されやすい状態になっていないかを早い段階で見つけます。2つ目が、AWSなどクラウド側の設定ミスです。外から入られてしまう設定になっていないか、といったところを見張ります。3つ目が、サーバーOSやWordPressなど、依存ミドルウェア起因の脆弱性です。
複数のツールを別々に使うとアラートが分散し、対応すべき項目が埋もれがちです。Aikido Securityは診断機能をまとめ、自動トリアージで誤検知を減らして、対応すべきアラートを絞り込みます。見つかった脆弱性に対して修正案のドラフトを作りプルリクエストまで出す機能もあり、修正の着手までを後押しします。
料金は無料のDeveloperプランから用意があり、日本窓口の有償プランは年額3,780ドル（月額5万円台相当）からで、導入前に試せます。
2. Securify（株式会社スリーシェイク）
株式会社スリーシェイクが提供するSecurifyは、クラウド型（SaaS）の脆弱性診断サービスです。画面を自動で巡回して疑似攻撃を送り、応答を検証するWebアプリケーション診断を中核に、API診断、外部公開資産を把握するASM、クラウド設定を監視するCSPMなどを同一サービスで扱えます。公式の機能にはWordPress診断も含まれます。
診断は日時や頻度を指定したスケジュール実行ができ、API経由で開発パイプラインに組み込むことも可能です。一度きりではなく継続的にサイトを検査したい運用に向いています。料金は脆弱性診断のSTARTERプランが月額5万円（年間60万円）からで、診断回数の制限はありません。無料トライアルも用意されています。
3. Cloudbric脆弱性診断（ペンタセキュリティ株式会社）
Cloudbric脆弱性診断は、WAF製品で実績のあるペンタセキュリティ株式会社（韓国本社の日本法人）が提供する診断サービスです。技術者による手動診断を中心に、メニューによっては自動ツールによるスキャンも組み合わせるハイブリッド方式で、Webサイトやアプリケーションに加え、ミドルウェア・OSまで含めて検査します。独自に収集した脅威インテリジェンスを診断項目に反映している点も特徴です。
Webサイト診断・Webアプリ診断・プラットフォーム診断（ミドルウェア・OS）など複数のメニューがあり、WordPressはWebサイト診断の項目やプラットフォーム診断（ミドルウェア・OSの既知脆弱性の検査）でカバーされます。診断後は、検出結果に応じてWAFなどの対策提案まで支援します。
料金は要問い合わせで、都度型の診断として提供されています。自力での対応が難しく、人手による診断を任せたい場合に向いています。
ここで紹介した3社以外にも、脆弱性診断サービスは数多くあります。診断方法（手動・ツール自動・ハイブリッド）や診断範囲、費用相場、自社の規模・予算に合う選び方まで含めて幅広く比較したい場合は、以下の記事をご覧ください。
脆弱性診断サービスおすすめ比較｜診断方法・費用相場・選び方を解説【無料ツールあり】
Webサービスや社内システムの脆弱性診断を検討する際、「専門家による手動診断とツールによる自動診断のどちらが自社に必要なのか」「費用が数十万円から数百万円までと幅が広く、妥当な予算が読めない」といった壁に突き当たる担当者は少なくありません。…
WordPressは「オワコン」？使い続けるべきか、乗り換えるべきか
脆弱性の話に続いて、「WordPressはもう古い・危ないから乗り換えるべきか」という疑問に触れます。結論としては、脆弱性が多いことを理由に一律で乗り換えが必要になるわけではありません。判断の材料を整理します。
2026年のPHP脆弱性は「WordPress本体の穴」ではない
2026年10月に公表され「WordPressが危ない」と話題になったPHPの脆弱性は、正確にはWordPressを動かす土台であるPHP本体（Core）に対するもので、WordPress本体の脆弱性ではありません。PHP公式のChangeLogでは、8.5.12／8.4.27／8.3.36／8.2.35（いずれも2026年10月付）で修正されたと記載されています。
出典・参考資料（1件）
このため、対策はPHPを修正版以降に更新することであり、WordPress本体やプラグインの更新だけでは塞げません。使っているPHPのバージョンはサイトヘルスの「情報」タブで確認でき、更新はレンタルサーバーの管理画面などから行います。事象の名前に惑わされず、「どの層の問題で、どこを更新すれば塞げるのか」を切り分けることが大切です。
直す会社・乗り換えを検討してよい会社の判断軸
判断の軸は、仕組みの名前よりも「誰が更新を続けられるか」です。本体・プラグイン・PHPの更新を継続でき、不要な拡張を整理する運用体制を社内または委託先で確保できるなら、WordPressを使い続けて問題ありません。
一方、更新を担う人がおらず放置が続いている、使っていないプラグインが積み上がっている、といった状態が常態化しているなら、保守を委託するか、更新の手間が少ない構成への移行を検討する余地があります。乗り換えを考える場合も、お知らせの更新を誰がどう行うか、問い合わせフォームなど動く部分をどうするか、ページのURLと検索での見え方を保てるかを確認してから進めると、移行後のつまずきを避けられます。
まとめ
WordPressで報告される脆弱性の件数は多いものの、その大半はプラグインやテーマに集中しており、本体コアに見つかる脆弱性は年に数件の規模です。本体そのものが危険というより、更新や不要な拡張の整理といった運用が追いついているかどうかが、サイトの安全を左右します。
まずはサイトヘルスで現状を確認し、更新・不要な拡張の削除・PHPの更新から着手してください。認証の強化やバックアップで守りを固め、自力での対応が難しければ、依存ミドルウェアまで検査できる脆弱性診断サービスの利用を検討するとよいでしょう。
一括ダウンロードする
よくあるご質問（FAQ）
Q. 脆弱性診断サービスとは何ですか？
A. 脆弱性診断サービスとは、第三者の専門事業者が、専用ツールや技術者の手作業でWebサイト・Webアプリ・サーバーなどを検査し、攻撃に悪用されうる弱点を洗い出すサービスです。
WordPress本体やプラグインだけでなく、それらが動く土台のPHP・ライブラリ・サーバーOSといった依存ミドルウェアまで検査できるものもあり、無料ツールでは見つけにくい弱点の発見や、自力で対応しきれない運用の補完に使えます。
Q. 中小企業や個人の小規模なWordPressサイトは、脆弱性を狙われにくいですか？
A. サイトの規模や知名度は、狙われやすさとほとんど関係ありません。脆弱性を悪用する攻撃の多くはプログラムで自動化されており、無差別に大量のサイトを巡回して弱点のあるものを探します。むしろ、更新や管理が後回しになりがちな小規模サイトのほうが、放置された脆弱性を突かれて改ざんや踏み台化の被害に遭うことがあります。規模にかかわらず、更新と最低限の対策は必要です。
Q. WordPressのプラグインは何個までなら安全ですか？
A. 「何個までなら安全」という個数の基準はありません。重要なのは数ではなく、一つひとつのプラグインの更新・サポートが続いているか、実際に使っているかです。使っていないプラグインは、たとえ停止していてもファイルがサーバーに残り脆弱性の入り口になります。数を気にするより、「不要なものを削除し、残すものの更新を保つ」ことを優先してください。
Q. WordPressの自動更新は、すべてオンにしておけばよいですか？
A. 更新の手が回らないサイトでは、自動更新を幅広くオンにする利点のほうが大きくなります。脆弱性の修正は更新で配布されるため、放置して更新が遅れるより、自動で当たる状態のほうが安全です。ただし、表示崩れや不具合が業務に直結する重要なサイトでは、更新前に検証環境で確認してから適用すると安心です。重要なものだけ手動、それ以外は自動、と使い分ける考え方もあります。
Q. WordPressにセキュリティ対策用のプラグインは必要ですか？
A. 必須ではありませんが、二段階認証やログイン試行回数の制限など、本体だけでは補いにくい対策を手軽に追加できる点で役立ちます。ただし、セキュリティプラグイン自体も一つのプラグインであり、更新が止まれば逆にリスクになります。導入するものは更新とサポートの継続を確認し、本体・プラグインの更新そのものの代わりにはならない点に注意してください。
Q. WAFやCloudflareを導入すれば、WordPressの脆弱性対策は十分ですか？
A. WAFやCloudflareは守りの層を一つ増やせますが、それだけで脆弱性対策が完結するわけではありません。不正な通信を遮断して攻撃を受けにくくする効果はある一方、脆弱性そのものが残っていれば、すり抜ける攻撃には対処しきれません。WordPress本体・プラグイン・PHPの更新と組み合わせ、多層で備えることが前提になります。
Q. サイト制作を制作会社に任せている場合も、自分で脆弱性対策を意識する必要はありますか？
A. 制作を外注していても、更新や保守を誰が継続して担っているかは発注側で確認しておく必要があります。制作時点では安全でも、その後に本体・プラグイン・PHPの更新が止まれば脆弱性は蓄積します。保守契約の範囲に更新やバックアップが含まれているか、含まれていなければ誰が対応するのかを明確にしておくと、放置による被害を防げます。
Q. 無料の脆弱性チェックツールと、有料の脆弱性診断サービスは何が違いますか？
A. 無料ツールは主に「既知の脆弱性」が残っていないかの確認に向き、有料の脆弱性診断サービスは認証後の画面や独自開発した機能、依存ミドルウェアまで踏み込んで検査できる点が異なります。
まずはサイトヘルスやWPScan系の無料ツールで現状を把握し、ログイン後の機能や独自開発部分がある、自力での対応が難しい、継続的に検査したいといった場合に、有料の診断サービスを検討するとよいでしょう。診断は一度きりではなく、更新や機能追加のたびに状態が変わるため、定期的に実施する前提で考えると安全です。
脆弱性診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、WordPressなどの依存ミドルウェアも検査できる脆弱性診断サービスの最新資料を無料で一括請求できます。検査範囲や料金、診断方式を見比べて、自社に合うサービスを選べます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
