WordPressのセキュリティ対策と保守｜脆弱性の9割はプラグイン。放置サイトが今やること

「WordPressで作ったサイトを、公開してから何年も更新していない」「制作会社との契約が終わって、今は誰も見ていない」。こうした状態のWordPressサイトは少なくありません。WordPressは世界で最も使われているCMSで、その分、攻撃の対象にもなりやすい仕組みです。

この記事では、WordPressのセキュリティで何が起きているのか、放置するとどうなるのか、今すぐ確認したいこと、自社でできることと保守会社に任せることを、Webサイトの保守を担当している立場からまとめます。

結論：危ないのは「本体」より「プラグイン」と「古いPHP」

WordPressの脆弱性の大半は、本体ではなくプラグインとテーマで見つかっています。しかも、見つかってから攻撃が始まるまでの時間は短くなっています。セキュリティ対策の中心は、特別なツールを入れることではなく、プラグイン・テーマ・本体・PHPを止めずに更新し続けることと、管理画面に入られないようにすること、そして万一のときに元に戻せるようにしておくことの3つです。

数字で見る、WordPressの脆弱性

WordPressのセキュリティ企業Patchstackの年次レポート（2026年版、2025年の集計）では、次のように報告されています。

つまり、本体だけを更新していても、プラグインやテーマが古いままでは守れません。また、修正版が出ないまま開発が止まっているプラグインもあるため、「更新する」だけでなく「使うプラグインを見直す」ことも必要です。

放置したWordPressサイトで起きること

• 改ざん：ページに不正なリンクや広告が埋め込まれる、別のサイトに転送される
• 管理画面の乗っ取り：推測されやすいパスワードや、使っていない管理者アカウントから入られる
• 情報の漏えい：問い合わせフォームや会員の情報が抜き取られる
• 検索やブラウザでの警告：危険なサイトとして警告が表示され、アクセスが落ちる
• ある日、表示されなくなる：サーバー会社が古いPHPの提供を終え、PHPが切り替わったときに、古いテーマやプラグインが動かなくなる

どれも、会社の信用や問い合わせに直接響きます。特にコーポレートサイトは「見られていないから大丈夫」と思われがちですが、取引先や採用の応募者が必ず見るページです。

2026年12月31日に、PHP 8.2のサポートが終わります

WordPressはPHPというプログラムの上で動いています。PHPの公式サイトによると、PHP 8.2のセキュリティサポートは2026年12月31日で終わります。PHP 8.1以前は、すでにサポートが終わっています。WordPressの公式サイトでは、PHP 8.3以上を推奨しています。

PHPを新しくすると、古いテーマやプラグインがエラーになることがあります。いきなり本番で切り替えず、先にテスト用の環境で表示と動作を確認し、必要な修正をしてから切り替えるのが安全です。サーバーの管理画面で、今のPHPのバージョンを一度確認してみてください。

今すぐ確認したい7つのこと

私たちが保守を引き受ける前に行っている「サイト診断」でも、まずこの7点を確認しています。

1. WordPress本体のバージョン：管理画面の「ダッシュボード」→「更新」で、最新になっているか
2. プラグインとテーマの更新：更新が止まっているものがないか。何年も更新されていない、提供が終わったプラグインはないか
3. 使っていないプラグイン・テーマ：停止したまま残っているものも、削除しておく
4. PHPのバージョン：8.2以前なら、切り替えの計画を立てる
5. 管理者アカウント：退職者や以前の制作会社のアカウントが残っていないか。推測されやすいパスワードになっていないか。二段階認証は設定しているか
6. バックアップ：定期的に取られているか。実際に元に戻せる状態か
7. SSL・ドメイン・フォーム：SSLやドメインの期限は切れそうになっていないか。問い合わせフォームは正しく届くか

自社でできること、保守会社に任せること

「更新はできるが、更新して表示が崩れたときに直せない」という状態が、いちばん更新が止まりやすいパターンです。更新を止めてしまうくらいなら、更新と確認だけでも任せてしまうほうが安全です。

改ざんされたかもしれないときの初動

1. 慌てて削除しない：ファイルを消すと、原因の調査ができなくなります。まずは状況を記録します
2. パスワードを変える：WordPressの管理者、サーバー、FTP、データベースのパスワードを変更します
3. サーバー会社と保守会社に連絡する：サーバー側のログや、バックアップの有無を確認します
4. 原因を調べて復旧する：入られた経路を特定し、不正なファイルを取り除いて、きれいな状態に戻します
5. 再発を防ぐ：原因になったプラグインの更新や入れ替え、アカウントの整理をします

問い合わせフォームや会員の情報が漏れたおそれがある場合、不正アクセスによるものは、件数にかかわらず個人情報保護委員会への報告と本人への通知が必要になることがあります。詳しくは個人情報保護委員会の案内を確認してください。

保守会社を選ぶときのポイント

• 更新後の確認までしてくれるか：更新ボタンを押すだけでなく、表示や問い合わせフォームの動作まで確認するか
• バックアップから戻せるか：バックアップを取るだけでなく、実際に戻す手順を持っているか
• PHPの切り替えに対応できるか：テーマやプラグインの修正まで含めて対応できるか
• 他社が作ったサイトを引き継げるか：最初に現状を調べ、直すべき点を整理してくれるか
• トラブルのときに連絡がつくか：連絡の方法と、対応までの目安が決まっているか

費用の目安

保守の費用は、サイトの規模、更新の量、対応の時間帯などで変わります。Ruskaの場合の目安は次のとおりです（いずれも税別）。

よくある質問

セキュリティ用のプラグインを入れれば十分ですか？

入れること自体は有効ですが、それだけでは足りません。脆弱性の多くはプラグインやテーマそのものにあるため、更新と見直しを続けることが基本です。セキュリティ用のプラグインも、更新しなければ弱点になります。

他社が作ったWordPressサイトでも、保守を頼めますか？

頼めます。Ruskaでは、最初にサイト診断で現状を調べ、保守を始める前に直すべき点を整理してから引き継いでいます。

診断だけをお願いすることはできますか？

できます。診断の結果をもとに、自社で対応する場合の手順もお伝えしています。

改ざんされてしまった場合、保守契約をしていなくても対応してもらえますか？

Ruskaでは、契約前のサイトの緊急復旧もご相談を受けています。状況を伺い、原因の調査と復旧の方法をご提案します。

まとめ

WordPressの脆弱性の多くはプラグインとテーマにあり、見つかってから攻撃されるまでの時間も短くなっています。本体・プラグイン・テーマ・PHPを止めずに更新し、管理画面への入口を絞り、元に戻せるバックアップを用意しておくことが、いちばん効果のある対策です。PHP 8.2のサポートが2026年12月31日で終わるため、古いPHPのまま動いているサイトは、年内に切り替えの計画を立てておきましょう。

株式会社Ruskaは、WordPressサイトの保守を、今の状態を調べるサイト診断から、日々の更新、PHPの切り替え、トラブル時の復旧まで引き受けています。他社が制作したサイトもご相談ください。WordPress保守について見る →

出典

• Patchstack「State of WordPress Security in 2026」（2026年10月27日に確認）
• PHP「Supported Versions」（2026年10月27日に確認）
• WordPress.org「Requirements」（2026年10月27日に確認）
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」（2026年10月27日に確認）