【WordPress脆弱性】最新事例と今すぐできる10の対策

WordPressの脆弱性対策で最も重要なのは、WordPress本体・プラグイン・テーマ・PHPの4つを常に最新の状態に保つことです。

セキュリティ企業Patchstackの調査では、2025年に見つかったWordPress関連の脆弱性は1万1,334件と前年から42%増え、その9割以上がプラグインに集中しています。さらに2026年は、wp2shellやCVE-2026-87902など、WordPress本体でもリモートでコードを実行されるおそれのある重大な脆弱性が相次ぎました。

本記事では、WordPressの脆弱性の最新事例と傾向、乗っ取られたときの被害、そして被害を防ぐために今すぐできる10の対策を、わかりやすく解説します。

WordPressの脆弱性とは？——9割以上はプラグインに見つかっている

WordPressの脆弱性とは、WordPressで作られたWebサイトに存在する、攻撃者に悪用されうるセキュリティ上の弱点のことです。WordPressは世界中で最も多く使われているCMS（コンテンツ管理システム）であり、利用者が多いぶん攻撃者に狙われやすいという宿命を抱えています。

Patchstackが2026年に公表したレポートによると、2025年に新たに報告されたWordPress関連の脆弱性は1万1,334件で、前年から42%増加しました。その内訳は、プラグインが91%、テーマが9%で、WordPress本体（コア）の脆弱性はわずか6件、いずれも優先度の低いものでした。つまり、WordPressのセキュリティを考えるうえでは、本体以上にプラグインとテーマの管理が重要だということです。

修正版が出る前に公表される脆弱性も多い

同レポートでは、報告された脆弱性の46%が、公表された時点で開発者から修正版が提供されていなかったとされています。また、深刻度の高い脆弱性は全体の17%（1,966件）にのぼり、集中的に狙われた脆弱性では、大規模な悪用が始まるまでの時間の中央値が約5時間だったと報告されています。

脆弱性が公表されてから攻撃が始まるまでの時間は非常に短く、「時間ができたら更新しよう」では間に合わないのが現実です。

なぜWordPressは狙われやすいのか

WordPressが狙われやすい理由は、利用サイトが非常に多いことに加え、プラグインやテーマの数が膨大で、品質やメンテナンスの状況にばらつきがあるためです。

攻撃者は、脆弱性のあるプラグインを使っているサイトを自動的に探し出し、一斉に攻撃を仕掛けます。サイトの規模や知名度に関係なく、脆弱性が放置されていれば中小企業のサイトでも被害に遭う可能性があります。

2026年に相次いだWordPressの重大な脆弱性

出典：https://unsplash.com/ja

2025年はWordPress本体の脆弱性が少なかったのに対し、2026年は本体でも重大な脆弱性が相次いでいます。主なものを一覧にまとめました。

wp2shell（CVE-2026-60137、CVE-2026-63030）

wp2shellは、2026年7月に公表された2件の脆弱性の通称です。IPA（情報処理推進機構）によると、WordPress 6.9以降では2件の組み合わせによってリモートでコードを実行されるおそれがあり、標準構成では管理者権限などがなくても攻撃できると指摘されています。米国CISAの「悪用が確認された脆弱性」のカタログにも掲載され、実証コードも公開されました。

影響を受けるのはWordPress 6.9.0〜6.9.4と7.0.0〜7.0.1で、CVE-2026-60137単体では6.8.0〜6.8.5も対象です。修正版は6.9.5と7.0.2（CVE-2026-60137は6.8.6も）です。

WordPress.orgは影響を受けるバージョンに強制的な自動更新を行いましたが、自動更新が無効になっていたり失敗していたりする可能性もあるため、管理画面でバージョンを確認することが呼びかけられています。

CVE-2026-87902

CVE-2026-87902は、2026年9月22日に公表されたWordPress本体の脆弱性です。ページのテンプレートを読み込む処理で、読み込むファイルの範囲を適切に制限できていない問題があり、条件によってはリモートでのコード実行につながるおそれがあります。

WordPress公式はCVSS v4.0で9.2（Critical）と評価しており、公表直後から実際の悪用が報告されました。修正版は7.1.2、7.0.6、6.9.9、6.8.10などで、古い系列にも修正が提供されています。

WordPress 7.1.3で修正された7件の脆弱性

2026年10月7日に公開されたWordPress 7.1.3では、7件のセキュリティ問題が修正されました。承認待ちのコメントを経由して悪用できる格納型のクロスサイトスクリプティング、エクスポート機能での二次的なSQLインジェクション、非公開・未公開の投稿のコメントが認証なしで閲覧できてしまう問題などが含まれます。

WordPress公式は「ただちにサイトを更新することを推奨」しており、修正は4.7以降の各系列にも順次提供されています。

PHP本体の脆弱性「PHP2Shell」も影響

WordPress自体の脆弱性ではありませんが、2026年10月21日に修正版が公開されたPHP本体の脆弱性「PHP2Shell」（CVE-2026-109618、CVE-2026-109619）にも注意が必要です。

認証なしで外部から任意のコードを実行されるおそれがある緊急の脆弱性で、WordPressで構築したサイトでも攻撃の再現が確認されています。WordPressを最新にしていても、土台となるPHPが古ければサイトは守れません。PHP 8.5.12、8.4.27、8.3.36、8.2.35以降への更新が強く推奨されています。

WordPressでよく見つかる脆弱性の種類

Nano Banana Proで作成

WordPressのプラグインやテーマで見つかる脆弱性には、いくつかの典型的なパターンがあります。代表的なものを知っておくと、脆弱性情報を見たときに危険度を判断しやすくなります。

アクセス制御の不備

アクセス制御の不備とは、本来は管理者しか使えない機能を、権限のないユーザーや、ログインしていない第三者が使えてしまう脆弱性です。Patchstackのレポートでも、実際の攻撃で最も多く悪用された種類として挙げられています。設定の変更や管理者アカウントの作成などに悪用されると、サイトを丸ごと乗っ取られるおそれがあります。

クロスサイトスクリプティング（XSS）

クロスサイトスクリプティングとは、Webページに不正なスクリプトを埋め込まれ、閲覧者のブラウザで実行されてしまう脆弱性です。WordPressの脆弱性の中でも件数が多い種類で、管理者がスクリプトの埋め込まれたページを開くと、管理者の権限で不正な操作をされることもあります。

SQLインジェクション

SQLインジェクションとは、入力欄などから不正なSQL文を送り込まれ、データベースの情報を盗まれたり書き換えられたりする脆弱性です。WordPressは会員情報やお問い合わせ内容などをデータベースに保存しているため、個人情報の漏えいにつながる深刻な被害をもたらします。

任意ファイルアップロード・リモートコード実行

任意ファイルアップロードとは、画像などのアップロード機能を悪用され、不正なプログラムをサーバに置かれてしまう脆弱性です。置かれたプログラムが実行されると、攻撃者がサーバを遠隔操作できるようになります。wp2shellやCVE-2026-87902のようなリモートコード実行の脆弱性と並んで、最も危険度の高い種類です。

クロスサイトリクエストフォージェリ（CSRF）

CSRFとは、管理者がログインしたまま罠のページを開いたときに、本人の意図しない操作を勝手に実行させられる脆弱性です。プラグインの設定を書き換えられたり、不正なユーザーを追加されたりする原因になります。

WordPressが乗っ取られるとどうなる？——主な被害

WordPressの脆弱性を悪用されると、サイトの持ち主だけでなく、サイトを訪れたお客様にまで被害が広がることがあります。主な被害は次のとおりです。

まず、サイトの改ざんです。トップページを書き換えられたり、見えない場所に不正なリンクやスクリプトを埋め込まれたりします。次に、訪問者を詐欺サイトやマルウェア配布サイトへ誘導されるケースです。

サイトを訪れたお客様のパソコンやスマートフォンが感染すると、企業の信用は大きく傷つきます。さらに、会員情報やお問い合わせ内容などの個人情報が盗まれる情報漏えい、迷惑メールの送信やほかのサイトへの攻撃の踏み台にされる被害もあります。

検索順位や事業への影響も大きい

改ざんされたサイトは、Googleなどの検索エンジンから「危険なサイト」と判定され、検索結果に警告が表示されたり、順位が大きく下がったりすることがあります。復旧後も信頼を取り戻すまでに時間がかかり、問い合わせや売上の減少につながります。

個人情報が漏えいした場合は、個人情報保護委員会への報告や本人への通知も必要になります。脆弱性対策は、Webサイトだけでなく事業そのものを守るための取り組みだといえます。

WordPressの脆弱性を防ぐために今すぐできる10の対策

ここからは、WordPressの脆弱性による被害を防ぐために、今すぐ取り組める10の対策を紹介します。特別な知識がなくてもできるものから順に確認していきましょう。

①WordPress本体を常に最新版に更新する

最も基本的で効果の高い対策は、WordPress本体を最新版に保つことです。管理画面の「ダッシュボード」→「更新」から、現在のバージョンと更新の有無を確認できます。WordPressにはセキュリティ更新を自動で適用する機能がありますが、サーバの設定やプラグインの影響で無効になっていることもあります。2026年10月時点の最新版は7.1.3です。自動更新が正しく動いているか、定期的に確認しましょう。

②プラグインとテーマを最新版に更新する

脆弱性の9割以上はプラグインに見つかっているため、プラグインの更新は本体の更新と同じくらい重要です。テーマも同様に最新版に保ちましょう。管理画面のプラグイン一覧から、プラグインごとに自動更新を有効にすることもできます。ただし、自動更新でレイアウトが崩れることもあるため、重要なサイトでは更新後の表示確認もあわせて行うと安心です。

③使っていないプラグイン・テーマを削除する

停止しているだけのプラグインでも、ファイルがサーバに残っていれば攻撃の対象になることがあります。使っていないプラグインやテーマは、停止ではなく削除しましょう。また、長期間更新されていないプラグインは、脆弱性が見つかっても修正されない可能性があります。代替のプラグインに乗り換えることを検討してください。

④PHPをサポート中のバージョンにする

WordPressを動かしているPHPが古いと、WordPressを最新にしていても安全とはいえません。PHP2Shellの修正版を適用し、サポートが終了したPHP 8.1以前を使っている場合は、サポート中のバージョンへ移行しましょう。PHPのバージョンは、管理画面の「ツール」→「サイトヘルス」の「情報」タブで確認できます。

⑤強いパスワードと二段階認証を設定する

管理者アカウントのパスワードが推測されやすいと、脆弱性がなくても不正ログインされてしまいます。長く複雑なパスワードを使い、ほかのサービスと使い回さないようにしましょう。さらに、プラグインなどを使って二段階認証を設定すると、パスワードが漏れても不正ログインを防げます。

⑥ログイン画面を守る

WordPressのログイン画面は、パスワードを総当たりで試す攻撃の標的になりやすい場所です。ログイン試行回数の制限、ログインURLの変更、特定のIPアドレス以外からのアクセス制限などを検討しましょう。外部連携に使うXML-RPCという機能を使っていない場合は、無効にすることも有効です。

⑦ユーザーの権限を見直す

退職者のアカウントや、使われていないユーザーが残っていると、不正ログインの入り口になります。不要なアカウントは削除し、記事を書くだけのスタッフには「編集者」や「投稿者」など、必要最小限の権限だけを付与しましょう。管理者権限を持つアカウントは、できるだけ少なくすることが大切です。

⑧WAFやセキュリティプラグインを導入する

WAF（Webアプリケーションファイアウォール）は、不正なリクエストを検知して遮断する仕組みです。多くのレンタルサーバで提供されているほか、セキュリティプラグインやクラウド型のサービスでも導入できます。ただし、Patchstackの調査では、一般的なホスティングの防御ではWordPress特有の攻撃の一部しか防げなかったとされています。WAFはあくまで補助的な対策と考え、更新とあわせて使いましょう。

⑨定期的にバックアップを取る

どれだけ対策をしても、被害を完全にゼロにすることはできません。万一に備えて、サイトのファイルとデータベースを定期的にバックアップしておきましょう。バックアップはサーバとは別の場所に保管し、実際に復元できるかも一度試しておくと安心です。

⑩脆弱性情報を集め、サイトを監視する

新しい脆弱性は次々と見つかるため、継続的な情報収集が欠かせません。WordPress公式のリリース情報、IPAやJPCERT/CCの注意喚起、脆弱性情報データベースのJVNなどを定期的に確認しましょう。あわせて、ファイルの改ざんを検知する仕組みや、不審なログインを通知する仕組みを用意しておくと、被害を早期に発見できます。

WordPressの脆弱性対策チェックリスト

ここまで紹介した10の対策を、チェックリストとして一覧表にまとめました。自社サイトの状況を確認する際にご活用ください。

もし改ざんや乗っ取りの被害に遭ったら

出典：https://unsplash.com/ja

万一、サイトの改ざんや不正ログインに気づいたら、被害の拡大を防ぐことを最優先に行動しましょう。まず、サイトを一時的にメンテナンスモードにするか公開を停止し、訪問者への被害を防ぎます。次に、WordPressの管理者アカウント、サーバ、FTP、データベースのパスワードをすべて変更します。

そのうえで、改ざんされたファイルや不審なユーザー、不明なプラグインがないかを調べ、問題のないバックアップから復元します。復元後は、原因となった脆弱性を修正しないまま公開を再開すると、同じ手口で再び攻撃される可能性があります。

WordPress本体・プラグイン・テーマ・PHPをすべて最新版に更新してから公開を再開してください。個人情報が漏えいした可能性がある場合は、専門家に相談し、必要に応じて関係機関への報告も行いましょう。

よくある質問（FAQ）

まとめ：WordPressの脆弱性対策は「更新」と「管理」の習慣化から

WordPressの脆弱性は年々増えており、2025年には1万件を超える脆弱性が報告され、その9割以上がプラグインに集中しています。

2026年はwp2shellやCVE-2026-87902など、WordPress本体でも重大な脆弱性が相次ぎ、10月にはPHP本体の緊急の脆弱性「PHP2Shell」も公表されました。脆弱性が公表されてから攻撃が始まるまでの時間はとても短く、更新を後回しにすること自体が大きなリスクになっています。

被害を防ぐためにまずやるべきことは、WordPress本体・プラグイン・テーマ・PHPを最新に保つこと、そして使っていないプラグインを削除することです。

そのうえで、強いパスワードと二段階認証、権限の見直し、WAFやバックアップといった対策を組み合わせ、継続的に情報を集めて監視する体制をつくりましょう。日々の「更新」と「管理」を習慣にすることが、サイトとお客様を守るいちばんの近道です。