WordPressの脆弱性とは：確認方法と見つかったときの対処の順番

WordPressの脆弱性（ぜいじゃくせい）とは、WordPress本体・テーマ・プラグインのプログラムにある、攻撃に使われうる欠陥のことです。自社のサイトが当てはまるかは、管理画面と公開されている情報で、次の3つを見れば確かめられます。①管理画面の「ダッシュボード」→「更新」に、更新待ちが残っていないか。②入っているプラグインとテーマ（停止中のものも含む）を書き出し、WordPress.orgの各ページに「公開停止」や「テストされていません」の表示が出ていないか。③IPA・JPCERT/CC・JVNの情報に、使っているものの名前と版が出ていないか。

当てはまるものが見つかったときの順番は、「自社が対象の版かを確かめる → バックアップを取る → 修正版に更新する → 修正版がなければ止めて削除する → 被害がないかを確かめる」です。「セキュリティ」の修正を含む更新が残っているなら、放っておかずに、その日のうちに当てる、というのが当社の考える基準です。WordPress.org自身も、深刻な脆弱性を直した版を出すときは「すぐに更新を」と呼びかけています。

画面の名前と手順は、2026年10月8日にWordPress.org、IPA（情報処理推進機構）、JPCERT/CC（JPCERTコーディネーションセンター）、JVNの公式の説明で確かめたものです。管理画面の表示は、WordPressの版によって少し変わることがあります。

脆弱性とは：WordPressのどこにあり、何が起きるのか

WordPressのサイトは、本体（WordPressそのもの）、見た目と型を決めるテーマ、機能を足すプラグインの組み合わせで動いています。その下には、サーバーと、WordPressを動かしているPHP（プログラムの言語）があります。脆弱性はこのどこにでも見つかります。サイトを運営する側が自分で手を打てるのは、主に本体・テーマ・プラグインの3つと、サーバーの管理画面で選べるPHPの版です。

脆弱性があると何が起きるかは、最近の例が分かりやすいです。2026年7月22日、IPAはWordPress本体の2つの脆弱性について注意喚起を出しました。WordPress 6.9以降の一部の版（6.9.0～6.9.4、7.0.0～7.0.1）では、2つを組み合わせると外部からプログラムを実行される（サイトを乗っ取られうる）おそれがあり、標準の構成では管理者の権限などがなくても攻撃されうる、と指摘されています。攻撃を実証するコードも公開され、悪用が確認された脆弱性の一覧（米国CISAのもの）にも載ったと書かれています。さかのぼると2017年2月には、JPCERT/CCが、WordPressの別の脆弱性で国内の複数のサイトが改ざんされたとして注意喚起を出しています。改ざんされたサイトの中に偽のページが作られ、検索結果から詐欺サイトへ人を誘う入口に使われる手口は、SEOポイズニングとはにまとめています。

修正版が出たあとが危ない、ということも知っておく価値があります。WordPress.orgのセキュリティ強化の手引きは、修正された脆弱性の詳しい内容はたいてい公開されるので、更新していないサイトは攻撃しやすくなる、と説明しています。「修正版が出た」は、「攻撃の手がかりが出回り始めた」とほぼ同じ意味だと受け取って、更新を急ぐ理由にしてください。

なお、IPAの「安全なウェブサイトの運用管理に向けての20ヶ条」も、ウェブサイトはさまざまなソフトウェアやCMS（WordPressのような、管理画面からページを作れる仕組み）で成り立っているとして、自社のサイトが何で作られているかを把握し、脆弱性が見つかれば更新などの対策をすることを求めています。次の章の手順は、その「把握」を手早く済ませるためのものです。

自社のサイトが当てはまるかを確かめる手順

管理者のアカウントでWordPressにログインし、次の順に見ます。見たものは、日付と一緒にメモに残します。

左のメニューの「ダッシュボード」→「更新」を開きます。WordPress本体、プラグイン、テーマ、翻訳のそれぞれに、更新待ちが出ていないかを見ます。本体の欄には、いま使っている版と新しい版が並んで出ます（版の確かめ方の詳しい説明はWordPressのバージョン確認と最新バージョンにあります）。
「プラグイン」→「インストール済みプラグイン」を開き、有効なものも停止中のものも、全部の名前と版の数字を書き出します。行の下に新しい版が利用できるという知らせが出ていれば、更新待ちです。
「外観」→「テーマ」を開き、入っているテーマを書き出します。子テーマ（元のテーマを残したまま手を加えるための、上書き用のテーマ）を使っている場合は、親のテーマも書き出します。
「ツール」→「サイトヘルス」を開きます。「ステータス」のタブに、更新待ちのプラグインやテーマ、停止中のプラグインやテーマの削除を勧める項目、古いPHPなどが出ます。
書き出した名前を一つずつ、WordPress.orgのプラグインのページ（ja.wordpress.org/plugins/）で検索し、後の章「更新が止まったプラグインの見分け方」に書く印が出ていないかを見ます。WordPress.orgにない有料のテーマやプラグインは、販売元のサイトの更新履歴を見ます。

当社のサイトで言えば、テーマはSANGOの子テーマで、問い合わせフォームのContact Form 7などのプラグインが入っています。この場合に書き出す対象は、子テーマ、親のSANGO、そして入っているプラグインの一つひとつです。停止中のプラグインを書き漏らしやすいので、一覧の「停止中」の絞り込みも開いて確かめます。

ここで「更新」の画面に何も出ておらず、WordPress.orgのページにも印がなければ、いまの時点で手を打つべき既知の脆弱性は見当たらない、と判断してよい状態です。ただし、次に書くとおり、本体の大きな脆弱性はWordPress.orgの告知や公的機関の情報で先に知ることもあります。

IPA・JPCERT/CC・JVNの情報の見方

脆弱性の情報を出している公的な窓口は、主に3つです。それぞれ載るものが違います。

情報源	載るもの	使いどころ
IPA「重要なセキュリティ情報」	広く使われるソフトの深刻な脆弱性。WordPress本体も載る	本体の重大な修正の確認
JPCERT/CC「注意喚起」	深刻で影響の広い脆弱性。被害が確認されたものも	急いで動くべきかの判断
JVN、JVN iPedia	国内外の脆弱性対策の情報。プラグインも含む	使っているプラグインを名前で調べる

JVNはJPCERT/CCとIPAが共同で運営する脆弱性情報のサイトで、JVN iPediaはIPAが運営するデータベースです。JVN iPediaの検索の画面にある「検索キーワード」の欄に、プラグインの名前（多くは英語の名前）を入れて探します。「WordPress」とだけ入れると件数が多すぎて絞り込めないので、プラグインの名前で探すほうが早く着きます。

JPCERT/CCの注意喚起は、WordPressについて毎回出るわけではありません。2026年の一覧（10月8日時点）にWordPressの注意喚起はなく、上の2026年7月の件はIPAの「重要なセキュリティ情報」に載っていました。どれか一つだけを見ていれば足りる、というものではないと考えてください。

読むのは「影響を受ける版」と「修正された版」

どの情報源でも、まず読むのは2か所です。影響を受けるバージョン（対象の版の範囲）と、修正されたバージョン（直った版）。手順で書き出した自社の版の数字が、対象の範囲に入るかを比べます。2026年7月22日のIPAの注意喚起なら、対象は「6.9.0～6.9.4」「7.0.0～7.0.1」（2つのうち一方の脆弱性は「6.8.0～6.8.5」も）で、修正版は「6.9.5」「7.0.2」（一方については「6.8.6」も）でした。自社が7.0.1なら対象、7.0.2以降なら対象外、という読み方です。

深刻さは、CVSS（脆弱性の深刻さを0〜10の数字で表す共通の物差し）で示されることが多く、JVN iPediaの一覧にも数字と区分が並びます。数字が大きいものほど急ぎますが、小さいものでも修正版が出ているなら当てておきます。

公的機関の情報より、WordPress.orgの告知のほうが早いことがある

2026年7月の件では、WordPress.orgの日本語版ブログが修正版7.0.2の公開を知らせたのが7月18日、IPAの注意喚起の掲載が7月22日でした。本体の脆弱性は、WordPress.orgの告知と、管理画面の「更新」で先に気づけることがあります。公的機関の情報は、「自社が対象か」「どのくらい重いか」を確かめるために使う、という分担が実際的です。

見つかったときの対処の順番

使っている本体・テーマ・プラグインに脆弱性の情報が出ていたら、次の順に進めます。

自社が対象の版かを確かめる。書き出した版の数字と、情報の「影響を受ける版」を比べます。対象外なら、確かめた日と結果をメモして終わりです。
バックアップを取る。ファイルとデータベースの両方です。更新で表示が崩れたときに戻すためのもので、取り方はWordPressのバックアップ方法にまとめています。
修正版があれば更新する。本体は「更新」の画面の本体の欄にある更新のボタン（WordPress.orgの日本語の説明では「今すぐ更新」）、プラグインは同じ画面で対象にチェックを入れて「プラグインを更新」を押して当てます。更新の順番と、失敗したときの戻し方はWordPressのアップデート手順にあります。
修正版がない、または作者が更新をやめているなら、そのプラグインを「無効化」し、続けて「削除」します。止めるとその機能は使えなくなるので、問い合わせフォームのように止められない機能なら、代わりのプラグインを同じ日に入れて動きを確かめます。
被害がないかを確かめる。「ユーザー」→「ユーザー一覧」で、覚えのない管理者が増えていないか。Search Consoleの「セキュリティの問題」レポートに何か出ていないか。見覚えのないページや、外部へのリンクが増えていないか。
被害の疑いがあれば、サーバー会社と、サイトを頼んでいる会社に連絡します。WordPress.orgの「サイトがハッキングされた」ときの手引きは、記録を取る、サーバー会社に確かめる、全員のパスワードを変える、きれいにしたあとに更新し、パスワードをもう一度変える、といった順番を挙げています。

自動更新に任せている場合も、自分の目で版を確かめておきます。2026年7月の件では、WordPress.orgは対象の版のサイトに自動更新で強制的に更新をかけましたが、IPAは、自動更新が無効だったり失敗していたりする可能性があるとして、管理画面で版を確かめ、更新されていなければ手で更新するよう案内しています。

更新が止まったプラグインの見分け方

作者が手を離したプラグインには、修正版が出ません。上の順番の3番が使えないので、早めに見つけて代わりを探す必要があります。WordPress.orgのプラグインのページに出る、次の印で見分けます。

印1：公開停止の告知

ページの説明の欄に「このプラグインの公開は（日付）に停止されており、ダウンロードできません。」と出ているものです。WordPress.orgの説明では、公開停止の理由には「セキュリティ上の問題」「ガイドライン違反」「作者の求め」などがあり、停止から60日たつと理由が表示されます。たとえば、日本で使われていた共有ボタンのプラグイン「WP Social Bookmarking Light」のページには、2023年7月27日に公開が停止されたことと「理由: セキュリティ上の問題。」が表示されていました（2026年10月8日確認）。

公開停止になっても、入れているサイトには新しい版が届かなくなるだけです。管理画面の「更新」を見ているだけでは気づきにくい、というのが当社の見方で、そのために手順の5番でWordPress.orgのページを見に行きます。理由が「セキュリティ上の問題」なら、その日のうちに止めて削除します。

印2：「最新3回のメジャーリリースに対してテストされていません」

ページの上に「このプラグインは WordPress の最新3回のメジャーリリースに対してテストされていません。」と、メンテナンスやサポートがされていないかもしれない旨の注意が出ているものです。作者が、新しい本体での動作確認を記録していない、という印です。すぐに危ないとは限りませんが、脆弱性が見つかっても直されない可能性が高まります。当社は、1か月以内に代わりのプラグインを探し始めることを勧めています。

WordPress.orgの説明によると、以前は「2年間更新されていない」ことで警告が出ていましたが、2018年からいまの「テストされていない」基準に変わりました。最終更新日が少し古くても、作者が新しい本体で確かめていれば警告は出ません。日付だけで決めず、この警告と合わせて見ます。

印3：「最終更新日」と「検証済み最新バージョン」

ページの右側の欄に「最終更新日」「有効インストール数」「検証済み最新バージョン」が並びます。検証済み最新バージョンが、自社の本体の版より何世代も古い場合は、印2と同じく注意して見ます。説明の欄の下にある「変更履歴」に、セキュリティの修正が書かれているかどうかも、更新を急ぐかの判断に使えます。

使っていないプラグイン・テーマを消す理由と、残すもの

停止中のプラグインも、ファイルはサーバーに残っています。WordPressのサイトヘルスは、停止中のプラグインは攻撃者にとって狙いやすい標的であり、使わないなら削除を考えるように、という趣旨を表示します（英語の原文は “Inactive plugins are tempting targets for attackers.”）。WordPress.orgのセキュリティ強化の手引きも、使っていないプラグインは削除するよう書いています。IPAの20ヶ条にも、不要になったページや、不要なサービス・アプリケーションを残さない、という項目があります。

もう一つの理由は、見る手間です。停止中のものは「使っていないから」と更新が後回しになりがちで、上の手順で書き出す数も増えます。入っているものが少ないほど、毎回の確認は短く済みます。

消し方

プラグイン：「インストール済みプラグイン」で、対象の「無効化」を押し、停止中になったら「削除」を押します。有効なままでは削除の文字が出ません。削除でプラグインの設定やデータまで消えるかはプラグインによって違うので、また使う可能性があるものは、設定を控えてから消します。
テーマ：「外観」→「テーマ」で、消したいテーマの絵を押して詳細を開き、右下の「削除」を押します。いま有効なテーマは削除できません。

残すテーマ：有効なテーマ、その親、標準のテーマを一つ

テーマは全部消せばよいわけではありません。子テーマを使っているなら、親のテーマは消すと表示が壊れます。当社のサイトなら、親のSANGOは残す対象です。また、サイトヘルスは、選んだテーマに問題が起きたときにWordPressが代わりに使う標準のテーマ（Twenty Twenty-Fiveなど）を一つ置いておくよう勧めます。残すのは「有効なテーマ」「その親」「標準のテーマ一つ」、ほかは消す、と覚えておくと迷いません。

放っておいてよいか：見えたものごとの判断

当社が勧める目安です。サイトの作りや、止められない機能があるかで変わります。

見えたもの	判断	いつまでに
本体のセキュリティの更新待ち	放っておかない	その日のうち
公的機関の情報で自社の版が対象	放っておかない	その日のうち
公開停止（理由：セキュリティ上の問題）	止めて削除	その日のうち
プラグインの更新待ち（変更履歴にセキュリティの修正）	更新する	その日〜翌営業日
プラグインの更新待ち（機能の追加だけ）	急がない	週の作業でまとめて
「テストされていません」の警告	代わりを探す	1か月以内に着手
停止中のプラグイン・テーマ	削除する	次の作業日

逆に、放っておいてよいのは、手順で確かめて更新待ちも印もなく、公的機関の情報でも対象外だった場合です。そのときは「何もしない」が正しい判断で、確かめた日だけ残しておけば足ります。脆弱性のほかに、パスワードや管理者の数、バックアップといった日ごろの備えはWordPressのセキュリティ対策：小さな会社がまずやる8つにまとめました。

自社で追い続けられないとき

ここまでの確認は、一度やるだけなら難しくありません。難しいのは続けることです。更新の知らせは週に何度も来ることがあり、WordPress本体だけでも、2026年7月から10月6日までにセキュリティの修正を含む版が、最新の系統を追った場合で6回（7.0.2、7.0.3、7.0.4、7.1.1、7.1.2、7.1.3）出ています（WordPress.orgのリリースの告知による）。担当者が本業の合間に見る形では、どこかで見落としが出ます。

毎週見る人を社内で決められないなら、保守として外に頼むのが現実的です。何をどの頻度で頼むか、契約で何を確かめるかはWordPressの保守とはに書きました。ただ、保守を頼んでも、サイトから問い合わせが増えるわけではありません。その違いは保守費を払っても問い合わせが増えない理由で説明しています。

当社は、ホームページの運営に加わり、問い合わせが来るところまでを引き受けています。サイトを安全に保つことはその前提になるので、ご相談の際は、いまの更新や保守の状態もあわせて伺います。自社のサイトに古いプラグインが残っていないか、何から手を付けるべきか判断がつかない場合は、相談するから、いまのサイトの状況をお知らせください。

参考にした公式の説明

※内容は2026年10月8日に各公式の説明で確かめたものです。脆弱性の情報は日々更新されるため、判断の前には最新の情報をご確認ください。