WordPressの脆弱性とは？自社サイトが該当するか確認する方法

この記事のポイント

• 危ないのは管理されていないWordPress
• 確認するのは対象とバージョンと修正版
• 自動更新後も管理画面で確認する
• 更新担当者を事前に決めておく

記事の概要

WordPressの脆弱性に関する注意喚起を見て、自社サイトが該当するのか、誰に確認すればよいのか分からず不安を感じている中小企業の方に向けた記事です。

※この記事は2026年10月12日時点の公開情報を基にしています。新しい脆弱性については、WordPress公式などの最新情報をご確認ください。

※この診断は自分のサイトの状態を確かめる目安であり、安全を保証するものではありません。

「WordPressって脆弱性がひどいんでしょ」と、お客様から聞かれたことがあります。ニュースやSNSの注意喚起を見て、会社のサイトを任せる方が不安になるのは当然です。

WordPressはとても優れたツールですが、管理を怠ると大きな被害につながります。本記事では不安を抱えたままにせず、自社サイトが注意喚起の対象かを判定する方法を具体的に示します。

1. WordPressの脆弱性とは

脆弱性とは、悪用されるとサイトを書き換えられたり乗っ取られたりする、プログラムの欠陥（穴）のことです。見つかると開発元が穴をふさいだ新しいバージョン（修正版）を公開しますが、自分のサイトを更新するまで効果はありません。

本体・プラグイン・テーマのどこにでも見つかる

WordPressのサイトは、主に次の要素からできています。

• サイトの基本機能を持つWordPress本体
• お問い合わせフォームなどの機能を追加するプラグイン
• デザインやページの表示を担うテーマ

脆弱性はこのいずれにも見つかり、本体の問題はWordPressの開発チームが修正し、プラグインやテーマの問題は原則としてそれぞれの作者が修正します。

「WordPressに脆弱性」とあっても、全サイトが対象とは限りません。最初に本体、プラグイン、テーマのどこで見つかった問題かを確認する必要があります。

「脆弱性が見つかる」ことと「危ない」ことは違う

脆弱性が見つかり、修正版が公開されること自体は開発と調査が続いている証拠であり、危ないのは修正版が出ているのに更新されず、穴が残っているサイトです。

WordPressが公式にサポートするのは最新版だけです。ただし、セキュリティチームは厚意により、一部の修正を古い系統にもさかのぼって配布し、自動更新で届くようにしています。これは「バックポート」と呼ばれる対応です。

2026年10月12日時点の最新版はWordPress 7.1.3で、公式方針はWordPress公式のSecurityページで確認できます。最新リリースはリリース一覧で確認できます。

「WordPressは脆弱性がひどい」は本当か

脆弱性が公表されても、WordPressそのものが危険だと考える必要はありません。WordPressは優れたツールですが、公開後も本体やプラグインを管理することが前提です。

結論は、WordPressではなく、管理されていないWordPressが危ないということです。狙われる理由や日頃から必要な対策は、姉妹記事でまとめています。

WordPressのセキュリティ対策｜最低限と継続の判断基準

2. 2026年の2件で見る、脆弱性が公表されてから悪用されるまで

2026年は7月と9月にWordPress本体の深刻な脆弱性が約2か月おきに公表され、どちらも数日のうちに「悪用が確認された脆弱性」の一覧へ掲載されました。

CVEとは、公表された脆弱性ごとの識別番号です。たとえば「CVE-2026-87902」なら、製品名や記事の表現が違っても、同じ脆弱性を指すと判断できます。

7月のCVE-2026-63030は、深刻度を表すCVSSで9.8の「Critical」と評価されました。ただし、サイトの担当者が該当の有無を判断するとき、深刻度の数字を読み解く必要はありません。対象となる製品とバージョン、修正版の3点を確認すれば判定できます。

この年表から分かるのは、修正版が出てから悪用が確認されるまで、対応を先延ばしにできるほどの時間はないということです。また、注意喚起は一度きりではないため、年に何度も届くことを前提に、誰が情報を読み、誰が更新するのかを決めておく必要があります。

以上は2026年10月時点の情報です。今後の情報はWordPress公式ニュースとWordPressのリリース一覧で確認してください。IPAの重要なセキュリティ情報などでも確認してください。

3. 注意喚起が出たとき、自分のサイトが該当するかを判定する手順

見るのは「何に」「どのバージョンが」「修正版はどれか」の3つだけであり、CVE番号や深刻度の数字は、判定には使わなくて構いません。

注意喚起には専門用語や数字が並ぶため、難しく感じるのは自然なことですが、担当者が最初に行う判定は、次の手順に分ければ進められます。

手順1：情報を知ったら、公式の情報で確かめる

弊社も脆弱性の情報はSNSなどで知ることが多いのですが、SNSや検索結果は情報を知るきっかけとして使い、内容は公式情報で確かめます。

検索結果の「AIによる概要」が、2026年9月の脆弱性をXSSと要約した例がありました。しかし、公式記録にあるのは、ページテンプレートの処理を通じてサーバー上のPHPファイルを読み込ませる問題です。要約だけで内容を判断してはいけません。

WordPress本体については、次の情報源を確認します。

• WordPress公式ニュース
• WordPressのリリース一覧
• IPAの重要なセキュリティ情報
• JVN iPedia

プラグインやテーマは次のデータベースで名前を検索でき、いずれも英語のサイトですが、製品名をそのまま入力して探せます。

• WPScan
• Wordfence Intelligence
• Patchstack Database

手順2：本体か、プラグイン・テーマかを見分ける

注意喚起の「影響を受ける製品」や「対象」と書かれた箇所を読み、問題が見つかった場所を確認します。

WordPress本体なら、自社サイトの本体のバージョンを調べます。プラグインやテーマなら、注意喚起にある名前を自社サイトの各一覧で探します。

同じWordPressサイトでも、そのプラグインを入れていなければ対象ではないため、名前が一致したら次にバージョンを比較します。

手順3：自分のサイトのバージョンを確認する

WordPress本体のバージョンは、管理画面のダッシュボードか「ツール」内のサイトヘルスで確認できます。確認にはWordPress公式のサイトヘルス画面の説明も参考になります。

画面ごとの詳しい確認方法は、姉妹記事をご覧ください。

WordPressのセキュリティ対策｜最低限と継続の判断基準

手順4：影響を受けるバージョンの範囲を読む

2026年9月のCVE-2026-87902について、サーバー会社の注意喚起には、次のように系統ごとの対象範囲が掲載されました。

• 7.1系：7.1.0～7.1.1
• 7.0系：7.0.0～7.0.5
• 6.9系：6.9.0～6.9.8
• そのほか、4.7系まで系統別に対象範囲を掲載

この表は、今回の脆弱性を直すには必ず最新の7.1系が必要という意味ではありません。7.0系なら7.0.6以降、6.9系なら6.9.9以降など、使用中の系統の修正版なら修正済みです。

一方、4.7より前のバージョンが対象表に載っていなくても、安全という意味ではありません。CVE.orgの記録では7.1.2未満のすべてが影響を受けますが、修正版の配布は4.7系までです。4.6以前には今回の穴をふさぐ修正版が配られていないため、新しいバージョンへの大きな更新が必要です。

該当したらやること

対象範囲に入っていたら修正版へ更新し、自分で更新する場合は、更新前にサイトのファイルとデータベースをバックアップしてください。WordPress公式の更新手順でも、更新前のバックアップを案内しています。

更新後は管理画面でバージョンを再確認し、サイトの表示とお問い合わせフォームなどの動作も確認します。自分で更新できない場合や管理画面の操作が分からない場合は、制作会社や保守会社へ依頼してください。

弊社では脆弱性が公表されたとき、まず内容を読み、更新が出ていないかを確認し、指摘されていることがあれば対応しており、担当者が行うことも基本は同じ順序です。

4. 自動更新にしているのに、更新されていないことがある

自動更新は「設定していれば必ず上がる」仕組みではないため、サーバー会社もIPAも、実際に更新されたかを管理画面で確かめるよう求めています。

「自動更新にしているから大丈夫」と思っていたサイトが対象に含まれていれば、不安になるのは当然ですが、自動更新が有効でも、次の理由で更新されていないことがあります。

自動更新を止める設定が入っている

WordPress本体の自動更新は、多くのサイトで初期設定のまま有効ですが、設定ファイルの「定数」と呼ばれる設定により、自動更新の全部または一部を止められます。

サーバー上のファイルの権限に問題がある

WordPress公式によると、更新失敗の多くはサーバー上のファイルの権限が原因です。自動更新が始まっても、必要なファイルを書き換えられなければ完了しません。

古くから使っているサイトでは、大きな更新が自動になっていない

本体の小さな更新にはセキュリティ修正が含まれており、多くのサイトでは、この小さな更新が自動で適用されます。

一方、6.xから7.xへ移るような大きな更新は、WordPress 5.6以降に新しく設置したサイトで初期設定から自動更新されます。それ以前から使っているサイトは、管理者が有効にしない限り、小さな更新だけが自動更新の対象です。WordPress公式の更新資料で、この違いを確認できます。

プラグインとテーマは一つずつ設定する

プラグインとテーマの自動更新は、それぞれ個別に有効にする仕組みであり、プラグイン画面の「自動更新」列で、対象ごとに設定します。

自動更新を有効にするリンクがなければ、ホスティング会社か別のプラグインが機能を無効にしています。詳細はWordPress公式の「プラグインとテーマの自動更新」で確認できます。

弊社が引き継いだサイトや相談を受けたサイトでは、プラグインのバージョンが上がっていない状態が印象に残っています。「自動だと思っていた」ことと「実際に更新されている」ことは分けて確認しなければなりません。

サーバー会社が緊急対応として本体を更新することもあります。2026年9月にはエックスサーバーが条件に当てはまるサイトを更新しましたが、「サイトの状態によってはアップデートを完了できなかったケースがある」と案内しています。更新後の表示と動作の確認も、利用者に求めています。

したがって、サーバー会社が対応する場合でも任せきりにはできず、管理画面を開き、対象のバージョンが修正版へ上がっているかを確かめる必要があります。

独自テーマや古いプラグインを使用しているサイトの更新判断については、姉妹記事をご覧ください。

WordPressのセキュリティ対策｜最低限と継続の判断基準

5. 制作会社に作ってもらったサイトで、注意喚起が出たら

まず「誰がこのサイトを更新する担当か」を決めてください。サーバー会社は、WordPressの更新方法までサポートしないことがあります。

**制作会社にサイトを作ってもらっても、公開後の担当範囲が分からない企業は少なくありません。注意喚起が出る前に、誰が内容を確認し、誰が更新するのかを決めておくことが大切です。

誰に聞くか

保守契約がある場合は、契約している保守会社へ連絡し、契約がない場合は、最初にサイトを制作した会社へ相談してください。

サーバー会社と制作会社の役割を混同しないことが重要です。サーバー会社は設備や提供サービスの範囲を管理しますが、個々のWordPressサイトの構成や更新まで担当するとは限りません。

実際に、NTTドコモビジネスの注意喚起は、脆弱性の詳細やWordPressの更新方法をサポート対象外としています。これは対応の良し悪しではなく、契約上の担当範囲が異なるためです。

そのまま送れる質問文

注意喚起の記事のURLも添えると、制作会社が対象を特定しやすくなります。

◯月◯日に公表されたWordPressの脆弱性（CVE番号）について、弊社サイトが該当するか、修正版への更新が済んでいるかを教えてください。済んでいない場合は、更新の費用と対応日程を教えてください。

この文章では、次の3点を尋ねています。

• 自社サイトが対象か
• 修正版への更新が済んでいるか
• 未対応なら、いつ、いくらで対応できるか

「セキュリティは大丈夫ですか」とだけ聞くよりも、確認してほしい範囲が明確になります。

返事が来ない、担当者がいない場合

制作会社から返事が来ない、制作会社が事業を終了している、そもそも更新を担当する契約がない場合は、別の会社へ保守を依頼することを検討してください。

保守で行う作業、費用の相場、依頼時に伝える内容は、姉妹記事でまとめています。

WordPressの保守とは？費用相場と頼まなかったときにかかるお金

弊社でも、脆弱性の公表時は内容を読み、更新の有無を確認し、指摘された問題に対応します。ただし、同じ制作会社でも、制作だけの契約と保守を含む契約では担当範囲が異なります。まずは現在の契約内容と更新担当者を確認してください。

6. よくある質問

WordPressをやめるかどうかではなく、更新を続けられる体制があるかを基準に判断してください。

WordPressはやめたほうがいいですか？

**脆弱性の公表だけを理由にWordPressをやめる必要はありません。不安になるのは自然ですが、重要なのは注意喚起を確認し、修正版へ更新できる体制の有無です。

WordPressは優れたツールですが、管理をしないまま使い続けることには危険があります。自社で管理する、保守会社へ任せる、WordPressを使わない構成へ変えるという判断の分け方は、姉妹記事の判断フローをご覧ください。

WordPressのセキュリティ対策｜最低限と継続の判断基準

プラグインに脆弱性が見つかったら、すぐ削除すべきですか？

修正版が出ている場合はまず更新し、修正版がなく、作者による更新も止まっている場合は、プラグインを停止・削除して、代わりのプラグインを検討します。

使っていないプラグインやWordPressを残す必要はありません。NTTドコモビジネスの注意喚起でも、利用していないWordPressが残っている場合は削除するよう案内しています。

自分のサイトがすでに被害にあっていないか心配です

不安を感じたときは、管理画面やサイトの表示に不審な変化がないかを確認し、具体的な改ざんの兆候と、被害に気づいたときの最初の対応は姉妹記事をご覧ください。

WordPressのセキュリティ対策｜最低限と継続の判断基準

弊社が復旧した改ざんでも、侵入の原因や経路まで突き止められない事例がありました。改ざん後は侵入経路が分からないことも多いため、入られる前に更新して穴をふさぐことが重要です。

古いバージョンのままでも、動いているので問題ないのでは？

サイトが表示されていることと安全であることは別であり、古いバージョンでも画面は表示されますが、修正版が公開された脆弱性は残ったままです。

また、WordPressが公式にサポートするのは最新版だけです。古い系統にもセキュリティ修正が配布されることはありますが、すべての古い版に修正版が届く保証はありません。

7. まとめ

注意喚起が出たら、対象、バージョン、修正版の3点を順番に確認してください。

注意喚起が出たら確認する3つ① 何に見つかったか
② 自分のバージョンが対象か
③ 修正版へ実際に上がっているか

WordPressはとても優れたツールですが、管理を怠ると痛い目にあいます。危ないのはWordPressそのものではなく、更新する担当者がおらず、修正版が出ても放置されているWordPressです。

「注意喚起が出たけれど、自分のサイトが該当するか分からない」「更新を担当する人がいない」というときは、株式会社iTechへご相談ください。注意喚起の内容とサイトの状態を確認し、必要な対応を整理します。

※本記事は一般的な確認方法を示すものであり、個別サイトの安全性を保証するものではありません。実際の更新はサイトの構成とバックアップ状況を確認したうえで行ってください。

株式会社iTech
愛知県豊田市の、Web制作とSEOを得意とするWebマーケティング会社です。ホームページやLPの制作から、公開後の保守・運用、SEO・SNSなどの集客支援まで、伴走型で中小企業のサイトをお手伝いしています。