「WordPressのセキュリティが気になる。でもどこを見ればいいのかわからない」
企業のWeb担当者には、サイトのお知らせや採用情報の更新に加え、社内からの問い合わせ対応など、さまざまな仕事があります。セキュリティだけを専門に担当している方は、必ずしも多くないでしょう。
こんにちは。株式会社ウエブルの増子です。私たちは10年以上、500サイト以上のCMS構築・保守などに携わってきました。AI時代にCMSの安全な運用をサポートするために、「CMSセキュリティ対策室」をスタートしました！WordPressやEC-CUBEをはじめとする、CMSやカートシステムのセキュリティについて、これまでの実績と最新情報を組み合わせながら、優しく解説していきます。
今回は、大きな設定変更をする前に、まず自社のWordPressサイトの状態を確かめるための6項目を紹介します。管理者権限やサーバーの契約情報が必要な項目もありますので、アクセスできない場合は保守会社に確認しながら進めてみてくださいね。
1．更新がたまっていないか｜WordPress・プラグイン・テーマ
確認場所：WordPress管理画面「ダッシュボード → 更新」
ここでは、WordPress本体とプラグイン、テーマの更新通知を確認できます。対象製品と現在のバージョンを控えておきましょう。
Patchstackによると、2025年に報告されたWordPress関連の脆弱性11,334件のうち、91％はプラグインに関するものでした。WordPress本体が更新されていても、フォームや画像表示などのプラグインに弱点が残る場合があります。
WordPress公式の公開情報では、2026年10月18日時点の最新版は7.1.3です。ただし、更新可能な製品のバージョンは日々変わるため、実際に作業する日に公式情報と照合してください。
重要なのは、通知の件数よりも「対応を急ぐ脆弱性があるか」です。更新が数年間たまっている場合、いきなり「すべて更新」を押すと、テーマの表示や問い合わせフォームに不具合が生じることがあります。まず状態を記録し、更新の優先順位を確認してから作業を進めます。
詳しくは関連記事「WordPressが古いと危険？バージョンの確認方法と安全な更新の判断基準」をご覧ください。
2．バックアップは「戻せる」状態か
確認場所：レンタルサーバーの管理画面、バックアッププラグインの設定画面、保守会社への問い合わせ
WordPressのバックアップの対象は、「画像やプログラムなどのファイル」と、「投稿・設定などを保存するデータベース」の2つです。
まずは、バックアップが「どの方法で」「どこに」取られているかを確かめます。主な方法は次の3つで、それぞれ確認したいポイントが違います。
| 方法 | 保存される場所 | 確認したいこと |
|---|---|---|
| レンタルサーバーの自動バックアップ | サーバー会社の設備（多くは日ごとに数世代を自動保存） | 何日前まで残るか。復元は管理画面から自分でできるか、申し込みや費用が必要か |
| バックアッププラグイン | 設定しだい（同じサーバー内、または外部のクラウドストレージなど） | 毎回正常に完了しているか（失敗の通知が出ていないか）。保存先が本番と同じサーバーだけになっていないか |
| 手動でのバックアップ | 担当者のパソコンや社内のフォルダなど | 最後に取ったのはいつか。担当者が異動・退職しても、保存場所と手順がわかるか |
そのうえで、次の4点を確認しましょう。保守会社に任せている場合は、そのまま聞いてみてください。
- 最後に正常なバックアップが取得されたのはいつか
- ファイルとデータベースの両方が含まれるか
- どのくらい前の状態まで戻せるか
- 誰が復元作業を担当し、復元方法を確認できているか
バックアップが短期間しか残らないと、改ざんに気づいたときには正常な時点のデータがなくなっていることもあります。保存先を本番サーバー以外にも確保する方法が役立ちます。
このように、万一に備えて保存先と復元の手段を確保することが大切です。ウエブルでも、お預かりしているサイトのバックアップを定期的にAWSへ保存する運用を行い、トラブルがあった場合に復旧できる手順を明らかにしています。
3．管理者アカウントは適切か
確認場所：WordPress管理画面「ユーザー → ユーザー一覧」
「管理者」権限のある人を確認しましょう。以前の制作会社のアカウント、退職した社員、誰のものかわからないアカウント、複数人で共用しているアカウントはありませんか。
管理者にはプラグインの追加や設定変更など、多くの操作が可能です。不要な権限は整理し、共用を避け、二要素認証の導入も検討したいところです。二要素認証とは、パスワードに加えてスマートフォンの認証アプリなどで本人確認する仕組みです。WordPressの場合は、「Wordfence」や「Two Factor」「WP 2FA」などのプラグインで導入できます。すでにセキュリティプラグインを使っている場合は、その中に二要素認証の機能がないかを先に確認しましょう。
ただし、覚えのない管理者を見つけたときは、すぐ削除せず、画面を記録して保守担当者へ相談してください。不正アクセスの調査に必要な情報かもしれません。認証方法の変更も、ログインできなくなったときの復旧方法を決めてから行うと安心です。
4．WAF（ワフ）は有効か
確認場所：レンタルサーバーの管理画面にある「WAF」「セキュリティ」などの項目
WAFは、Webサイトに届く不審な通信を調べ、一定のルールで遮断する仕組みです。サイトの入口で怪しいアクセスを見分ける、警備員のような役割です。
サーバー会社がWAFを提供している場合、現在「有効」になっているかを見てみましょう。WordPressのプラグインや、Cloudflare（サイトの手前で通信を中継し、不審なアクセスを防ぐクラウドサービス）など、別の場所でWAFを利用している場合もあります。
Patchstackの2025年の検証では、一般的な防御策が防げなかったWordPress固有の攻撃も確認されています。WAFが有効でも、WordPressやプラグインを更新しなくてよいわけではありません。
また、WAFの設定によって正常な投稿保存やフォーム送信まで止めてしまう場合があります。現在の設定がわからなければ、まず状態を確認するだけにとどめ、変更は担当者と相談しましょう。
5．PHPのバージョンはサポート対象か
確認場所：WordPress管理画面「ツール → サイトヘルス → 情報 → サーバー」
PHP（ピーエイチピー）は、WordPressを動かすためのプログラミング言語です。WordPress本体とは別に更新が必要です。
PHP公式によると、2026年10月時点でPHP 8.1以前は公式サポート終了。8.2のセキュリティサポートは2026年12月31日まで、8.3は2027年末、8.4は2028年末、8.5は2029年末までです。WordPress公式はPHP 8.3以上を推奨しています。
| 確認したPHP | 対応の目安 |
|---|---|
| 8.1以前 | サポート終了。優先して移行計画を相談する |
| 8.2 | 2026年末の終了に向け、早めに移行準備する |
| 8.3以上 | サポート状況とプラグインの互換性を確認し、保守を継続する |
PHPを切り替えると、古いテーマやプラグインが動かなくなることがあります。数字だけを見て即座に切り替えるのではなく、バックアップと動作確認を伴う更新計画が必要です。
6．改ざんや不正アクセスの兆候はないか
確認場所：Google検索、Google Search Console、導入済みセキュリティツール
PatchstackとMonarxの分析では、検索エンジンに不審なページを見せる一方、サイト管理者には普段どおりの画面を見せる不正プログラムが報告されています。見た目だけでは気づけないことがあるのです。
Googleで site:自社ドメイン と検索し、覚えのないページがないか見てみましょう。これは検索結果の手がかりであり、全ページを確実に検査できる方法ではありません。Google Search Consoleでは「セキュリティの問題」に加えて、「設定 → ユーザーと権限」に知らない所有者が追加されていないかも確認します。Wordfenceなどを導入していれば、未対応の警告や不審なファイル変更がないか確認します。
また、スマートフォンで検索結果から開いたときだけ別のサイトへ転送する手口もあります。ときどき自分のスマートフォンで検索結果から自社サイトを開き、普段どおり表示されるか確かめておくと安心です。
知らない管理者や不審なページを発見したら、むやみにファイルを消さず、画面・日時・通知を記録して専門家へ連絡してください。
確認結果をふまえて、次は何をする？
6項目の確認で気になる点が見つかったら、次の表を参考に動いてください。上の行ほど、急いで対応したいものです。
| 見つかったこと | まず取る行動 |
|---|---|
| 覚えのない管理者、身に覚えのないページ、別サイトへの転送など、侵害の兆候がある | ファイルやアカウントを削除・上書きせず、画面と日時を記録して、その日のうちに保守会社へ連絡する。フォームで個人情報を受け付けている場合は、社内の情報管理の担当者にも共有する |
| 使っているプラグインに、ほかのサイトで攻撃が確認されている脆弱性がある | その日のうちにバックアップを取り、そのプラグインだけ先に最新版へ更新する（社内に詳しい人がいなければ、保守会社に依頼する）。修正版がまだない場合は、「修正版が出るまでどう守るか」を保守会社に相談する。 |
| 退職者や旧委託先のアカウントが残っている、管理者を共用している | 本人確認のうえ、不要なアカウントは削除するか権限を下げる。共用はやめて1人1アカウントにし、管理者から二要素認証を有効にする。 |
| バックアップの保存場所や、復元できる人がわからない | サーバー会社や保守会社に「どこに・何日分・誰が戻せるか」を確認する。わからないうちは更新作業を始めず、先にバックアップを取ってもらうよう依頼する。 |
| 更新が半年以上たまっている | 「すべて更新」は押さず、更新が必要なプラグインと現在のバージョンを書き出す。セキュリティ修正を含むものから順に、バックアップを取りながら更新する。（社内に詳しい人がいなければ、書き出した一覧を保守会社に渡して依頼する） |
| PHPが8.1以前 | すでにサポートが終了している。本番サイトのコピー（検証環境）で動作を試してから、8.3以上に切り替える。社内に詳しい人がいればその人が、いなければ保守会社に依頼する。 |
| PHPが8.2 | 2026年12月31日でサポートが終了する。年内の切り替えを目標に、8.1以前と同じ手順で準備を始める。 |
| WAFが無効、または設定がわからない | 管理画面の状態を記録し、有効にしてよいかを保守会社やサーバー会社に確認する。有効にした後は、記事の保存とフォーム送信ができるかを試す。 |
どの行も、作業そのものは保守会社に任せて構いません。担当者の役割は、見つけたことを記録し、この表を手がかりに「何を急ぐか」を判断して伝えることです。
横文字だらけ、バグらないか怖い。そんなときは専門家に相談を。
WAF、PHP、二要素認証、脆弱性…小難しい言葉が並ぶなあとあなたが思ったとしても無理はありません。
企業のWeb担当者が、これらを全部自分で設定しようとすると大変です。まずは「何がわかったか」「何がわからなかったか」をメモにして、保守会社へ相談する。それも立派なセキュリティ対策の第一歩です。
担当者だけで抱えないための社内の体制づくりや、委託先との役割分担については、「企業のWordPressセキュリティ対策｜AI時代に見直したい4つの視点と運用体制」で解説しています。
株式会社ウエブルの「WPまもるくん」では、WordPressの状態確認から、既知の脆弱性・不審ファイルのチェック、更新・WAF・バックアップなどの対策をご相談いただけます。更新による不具合が心配なサイトも、状況に応じた進め方を一緒に整理します。お気軽にご相談ください。
WPまもるくん｜WordPressセキュリティ対策・保守サービス
参考資料
