「WordPressで作った会社のサイト、今の管理方法で大丈夫でしょうか？」
サイトは問題なく表示されている。担当者も時々お知らせを更新している。それでも、プラグインがいつ更新されたのか、万一のとき誰が対応するのかを尋ねられると、ひやっとする。WordPressは便利だけれど、利用しながら実は内心ハラハラしているといったことはないでしょうか。
こんにちは。株式会社ウエブルの増子です。私たちは10年以上にわたり、企業・事業者様のWordPressなどのCMSの構築・保守に500サイト以上携わってきました。長い間更新されていないWordPressや、改ざんが疑われるサイトについてご相談を受けることもあります。
企業がWordPressを安全に使い続けるには、何に注意し、どこから手をつければよいのでしょうか。まずは、最近公表された脆弱性のデータから、リスクや対応策を確認してみます。
WordPressの脆弱性は「本体以外」にもある
セキュリティ企業Patchstackの調査では、2025年に報告されたWordPress関連の新たな脆弱性は11,334件、前年比42％増でした。そのうち91％がプラグイン、9％がテーマに関するものです。これらは「実際に侵害されたサイトの数」ではなく、報告された弱点の件数です。それでも、WordPress本体だけでなく追加機能の管理が大切だとわかります。
さらに同調査では、脆弱性の46％が公表時点で未修正（最新のバージョンで退所されていない状態）でした。つまり「新しいバージョンが出たら更新（アップデート）する」だけでは、十分に対応できない場面もあるのです。修正版がまだない場合は、問題のある機能の停止や、攻撃を遮断する暫定的な対策が必要になります。
IPAの「情報セキュリティ10大脅威 2026」では、組織向けの3位に「AIの利用をめぐるサイバーリスク」、4位に「システムの脆弱性を悪用した攻撃」、2位に「サプライチェーンや委託先を狙った攻撃」が入りました。AIによってWordPressへの攻撃リスクが増えているこのご時世において、企業としてはサイトと委託先の管理を改めて点検したいところです。
これらのデータから見えてくるのは、WordPress本体のみならず、プラグインやテーマの状態や、問題が見つかったときの対応まで考えておく必要があるということです。修正版がすぐに出ない場合もあるからこそ、日頃の管理と、万一に備える体制が大切になります。
企業のWordPressを守る4つの視点
では、何から取り組めばよいのでしょうか。
セキュリティ対策というと、新しいツールを導入することを思い浮かべるかもしれません。でも、ツールを増やす前に、いまの状態を確かめ、攻撃を防ぎ、異常に気づき、万一のときに復旧できるよう備えることを、一連の流れとして考えてみてください。
この4つは、専任担当者がいない中小企業にも、複数の部署や委託先が関わる中堅企業・上場企業グループ会社にも共通する基本です。違いが出るのは、各対策を「誰が、いつ、どのように行うか」という運用の部分です。
ここからは、4つの視点を順番にご紹介します。
1．確かめる｜今のバージョンに対処が必要な問題はあるか
まず、WordPress本体、プラグイン、テーマ、PHPのバージョンを確認し、そのバージョンに既知の脆弱性がないかを調べます。脆弱性はPatchstack・Wordfenceなどが公開している脆弱性データベースや、セキュリティプラグインのスキャン結果で確認できます。管理画面の「ダッシュボード → 更新」では、更新が利用できる製品がわかります。
たとえば問い合わせフォームのプラグインに脆弱性が見つかったら、脆弱性情報に書かれた「影響を受けるバージョン」と「修正済みのバージョン」を、自社で使っているバージョンと見比べます。「2.3.1以下に影響、2.3.2で修正」とあり、自社が2.3.0なら、2.3.2以上への更新が必要です。有料のテーマや独自に導入した製品は、管理画面に更新通知が出ないこともあるため、提供元の案内もあわせて確認します。
なお、脆弱性が見つかったからといって、すぐに被害に遭うわけではありません。ログインしなくても攻撃できるものか、特定の権限や機能が必要なものかによって、実際の危険度は大きく変わります。Patchstackの同調査でも、大規模な自動攻撃に使われやすい高リスクのものは全体の約17％でした。ただし、そうした脆弱性は公開から数時間で攻撃が始まることもあるため、危険なものを素早く見分けられる状態にしておくことが大切です。
とはいえ、日々の業務で担当者がすべての脆弱性情報を追いかけるのは大変です。WordfenceやPatchstackなどのセキュリティプラグインを使えば、使っているプラグインやテーマに脆弱性が公開されたとき、メールなどで通知を受け取れます。通知を受けたら、保守会社へ「この脆弱性に、すぐ対処が必要ですか」と確認できる関係を作っておくと安心です。
具体的な調べ方は、関連記事「WordPressが古いと危険？バージョンの確認方法と安全な更新の判断基準」で紹介しています。
2．防ぐ｜更新・認証・WAFを組み合わせる
脆弱性に修正版があれば、速やかに適用するのが基本です。ただし、数年間大きな更新をしていないサイトや独自のカスタマイズがあるサイトでは、更新をきっかけにフォームや表示に不具合が起こることがあります。セキュリティのための更新と、事業を止めないための動作確認はセットで考えたいところです。
また、退職者や旧委託先の不要なアカウントを整理し、管理者権限を必要な人に限ること、二要素認証を使うことも有効です。
「WAF（ワフ）」は、不審なアクセスを一定のルールで遮断する仕組みです。レンタルサーバーやCloudflare（サイトの手前で通信を中継し、不審なアクセスを防ぐクラウドサービス）のWAFを有効にしておくと、典型的な攻撃や、弱点を探して回る機械的なアクセスを入口で止められます。手軽に始められる、基本の防御です。
ただし、WAFにも得意・不得意があります。一般的なWAFは、特定のプラグインの弱点を突くWordPress固有の攻撃までは見分けきれないことがあり、Patchstackが2025年に行った検証では、こうした攻撃を止められた割合は12〜26％でした（特定条件での試験結果です）。そこで、PatchstackやWordfenceなどWordPress向けの製品が配信する、特定の脆弱性を狙う通信だけを遮断するルール（仮想パッチ）を組み合わせると、修正版が出るまでの守りを固められます。
WAFは大切な防御ですが、更新や権限管理の代わりにはなりません。複数の対策で弱点を減らすことが重要です。
3．検知する｜異常に気づいたら、誰が動くか
改ざんされても、サイトの見た目がすぐに変わるとは限りません。Patchstackが紹介する不正プログラムには、検索エンジンや訪問者に異なるページを見せ、管理者には正常に見せるものもあります。
そのため、画面の目視に加え、ファイル変更や不審なログイン、管理者アカウントの追加を監視し、Google Search Consoleの「セキュリティの問題」も確認します。Wordfenceなどのツールも検知の助けになります。
一方で重要なのは通知を受け取った後です。中堅企業や上場企業グループ会社では、社内担当者・制作会社・保守会社・サーバー会社が別々ということもあります。「誰が最初に見るか」「技術的に誰が判断するか」「誰が社内報告するか」を決めておくと、対応を進めやすくなります。
4．備える｜バックアップは、復旧と報告まで考える
バックアップは、WordPressのファイルとデータベースをそろえて保存し、戻せる状態にしておくことが基本です。ウエブルでも、お預かりしているサイトのバックアップを定期的にセキュアなクラウド環境へ保存する運用を行っています。サイトを動かす環境とは別の場所にも保存先を確保するためです。
ただ、外部に保存しただけでは復旧できるとは限りません。いつの状態に戻せるか、誰が作業できるか、復元後のフォームなどをどう確認するかまで決めておきたいところです。また、不正アクセスが疑われるときは、バックアップから戻す前に原因と影響範囲を調べることが必要です。
個人情報を扱うサイトなら、技術面だけでなく社内報告も重要です。個人情報保護委員会は、不正目的の行為による個人データの漏えい等（そのおそれを含む）など、一定の事態に報告義務を定めています。報告が必要な場合の速報は発覚後おおむね3〜5日以内、確報は原則30日以内、不正目的が疑われる場合などは60日以内とされています。事案によって判断が異なるため、問題が起きたら情報管理・法務部門へ速やかに共有しましょう。
企業の規模ではなく、サイトの役割で優先順位を決める
会社案内だけのサイトなら、更新・アカウント管理・バックアップがまず基本になります。問い合わせ・採用応募を扱うサイトでは、フォームの動作確認や個人情報の管理が重要です。会員・EC機能があれば、認証や決済まわりも含めた点検が必要になります。
複数サイトを運営している場合は、「サイト名／担当部署／保守委託先／更新の承認者／緊急連絡先」を一覧にするだけでも、管理の見通しがよくなります。親会社や取引先からセキュリティ確認を求められたときにも説明しやすくなります。
まずは「更新の緊急性を誰が判断するか」「異常の通知が誰に届くか」「バックアップから誰が復旧するか」の3点を確認してみてください。
具体的な画面の見方は、関連記事「そのWordPress、大丈夫？今すぐ確認したい6つのセキュリティ対策」で解説しています。
WordPressの管理に不安があるときは
「どこまで保守してもらっているかわからない」「社内に詳しい担当者がいない」そんな場合は、自社だけで抱えず専門家に相談することも一手です。
株式会社ウエブルのでは、定期的なバックアップ・アップデートに加え、WordPressの既知の脆弱性や不審なファイルの確認、更新やWAF、バックアップなどを、サイトの状況に合わせた対策プランをご案内しています。お気軽にご相談ください。
WPまもるくん｜WordPressセキュリティ対策・保守サービス
参考資料
