LOT　›　Web制作　›　記事

Web制作LOT No.37

WordPressの脆弱性を確認する方法｜自分でできる5つのチェックと見つかったときの対処

2026.11.02 公開　／　中川達貴

「WordPressの脆弱性がニュースになっているけれど、自社のサイトは大丈夫なのか」「何を見れば、危ないかどうか分かるのか」。WordPressを使っている会社の担当者から、よく受ける質問です。

この記事では、WordPressの脆弱性を自分で確認する方法を、管理画面でできることから順にまとめます。Ruskaが保守の前に行っている「サイト診断」でも、同じ順番で確認しています。

結論：まず「バージョン」と「プラグインの一覧」を見る

WordPressの脆弱性の多くは、本体ではなくプラグインとテーマで見つかっています。Patchstackの年次レポートでは、2025年に見つかった11,334件のうち、91%がプラグイン、9%がテーマでした。そのため、確認の中心は「どのプラグイン・テーマの、どのバージョンを使っているか」を把握し、公表されている脆弱性と照らし合わせることです。特別なツールがなくても、管理画面だけでかなりのところまで確認できます。

自分でできる5つのチェック

1. 管理画面の「サイトヘルス」を見る

管理画面の「ツール」→「サイトヘルス」を開くと、WordPressが自分で問題を点検した結果が表示されます。PHPのバージョンが古い、更新待ちのプラグインがある、自動更新が働いていない、といったセキュリティに関わる項目が「重大な問題」「おすすめの改善」として並びます。まずはここで赤い項目がないかを確認してください。

2. 本体・プラグイン・テーマの更新を確認する

「ダッシュボード」→「更新」で、WordPress本体、プラグイン、テーマの更新がたまっていないかを見ます。更新がたまっている場合、その中に脆弱性の修正が含まれている可能性があります。更新の前には、必ずバックアップを取ってください。

3. 「何年も更新されていない」プラグインを探す

「プラグイン」の一覧で、各プラグインの「詳細を表示」を開くと、最終更新日が分かります。何年も更新されていないものや、配布が終わったものは、脆弱性が見つかっても修正されません。Patchstackの同じレポートでは、公表の時点で修正版が出ていなかった脆弱性が46%ありました。使っていないプラグインは停止だけでなく削除し、更新が止まっているものは代わりのプラグインへの入れ替えを検討します。

4. 使っているプラグインを脆弱性データベースで調べる

プラグインの名前とバージョンが分かったら、公開されている脆弱性データベースで検索します。

データベース	特徴
JVN iPedia	日本の脆弱性対策情報データベース。日本語で検索でき、国内で報告されたWordPressのプラグインの脆弱性も載る
Patchstack Database	WordPressのプラグイン・テーマ・本体の脆弱性を、名前で検索できる（英語）
WPScan	WordPressの脆弱性データベース。無料のAPIは1日25回までで、商用ではない利用に限られる（英語）

検索結果に自社のプラグインが出てきたら、「影響を受けるバージョン」と「修正されたバージョン」を見て、今のバージョンが対象かどうかを確認します。

5. 管理者アカウントとPHPのバージョンを確認する

「ユーザー」の一覧で、管理者の権限を持つアカウントが必要以上にないか、退職者や以前の制作会社のアカウントが残っていないかを確認します。あわせて、サーバーの管理画面でPHPのバージョンも見てください。PHP 8.2のセキュリティサポートは2026年12月31日で終わり、8.1以前はすでに終わっています。WordPressの公式サイトはPHP 8.3以上を推奨しています。

注意：他人のサイトにスキャンをかけない

インターネット上には、URLを入れるだけで脆弱性を調べるツールもあります。ただし、自社が管理していないサイトに許可なく診断をかけることは、相手のサーバーへの攻撃とみなされるおそれがあります。調べるのは自社のサイトだけにし、制作会社や保守会社に依頼する場合も、サイトの持ち主として依頼してください。

脆弱性が見つかったときの対処

バックアップを取る：作業の前に、ファイルとデータベースの両方を保存します
修正版があれば更新する：可能ならテスト用の環境で表示と動作を確かめてから、本番に反映します
修正版がなければ止める：そのプラグインを停止・削除し、同じ機能を持つ別のプラグインに入れ替えます
入られた形跡がないか確認する：見覚えのない管理者アカウント、知らないファイル、ページの改ざんがないかを見ます。形跡があれば、パスワードを変えたうえで専門の会社に相談してください

自分で見るのが難しい場合

プラグインの数が多い、カスタマイズしたテーマを使っている、更新すると表示が崩れるのが心配、という場合は、保守会社に確認を任せるほうが安全です。Ruskaの「サイト診断」では、上の5つに加えて、バックアップから元に戻せるか、問い合わせフォームが届くか、SSLやドメインの期限なども確認し、優先度をつけた対策の一覧をお渡ししています。日々の保守や、放置したまま運用するリスクについてはWordPressのセキュリティ対策と保守で解説しています。

よくある質問

脆弱性があると、すぐに被害が出ますか？

すぐに被害が出るとは限りません。ただ、大規模に悪用される脆弱性では、公表から最初の攻撃までが数時間ということもあります。見つかったら、早めに更新か停止をしてください。

セキュリティ用のプラグインを入れれば、確認しなくても大丈夫ですか？

セキュリティ用のプラグインは有効ですが、ほかのプラグインの脆弱性そのものを直すわけではありません。更新と見直しは別に続ける必要があります。

どのくらいの頻度で確認すればよいですか？

更新の確認は少なくとも月に1回、プラグインの見直しとアカウントの棚卸しは年に数回が目安です。毎週のように更新が出るプラグインもあるため、保守を任せている場合は更新の頻度を確認しておくと安心です。

まとめ

WordPressの脆弱性は、まず「サイトヘルス」と「更新」の画面、プラグインの一覧で、使っているもののバージョンと更新状況を把握することから始まります。そのうえで脆弱性データベースと照らし合わせ、修正版があれば更新、なければ停止・入れ替えをします。自社で見きれない場合は、診断から保守会社に任せるのが確実です。

株式会社Ruskaは、WordPressサイトの診断から、日々の更新、PHPの切り替え、トラブル時の復旧まで引き受けています。他社が制作したサイトもご相談ください。WordPress保守・サイト診断について見る →