WordPressが狙われる理由は「使う会社が多く、放置されやすい」から
最初に結論です。WordPressのセキュリティ対策でまずやるべきは、本体とプラグインを最新に保つ・ログインの入口を守る・戻せるバックアップを持つの3つです。道具を買い足す前に、この3つと月1回の点検を整えるだけで、よくある被害の入口の多くを塞げます。
WordPressは世界中のホームページで使われている仕組みで、攻撃する側から見れば「同じ手が広く通用する」対象です。攻撃の多くは特定の会社を狙ったものではなく、自動のプログラムがインターネット全体を巡回して、古いバージョンのまま放置されたサイトや弱いログインの入口を探しています。狙われる理由は会社の規模や知名度ではなく、入口が開いているかどうかです。
脆弱性（ソフトウェアの弱点）が見つかること自体は、日常の出来事です。JPCERT/CCが毎週発行するWeekly Reportの2026年10月15日号にも、WordPress本体の複数の脆弱性が掲載され、対策として修正済みバージョンへの更新が示されています（出典：JPCERT/CC Weekly Report 2026-10-15）。問題は「脆弱性があること」ではなく、修正版が出てから自社サイトに適用されるまでの、誰も見ていない期間です。
国内では不正アクセスによる情報漏えいの公表が相次いでおり、IPA（情報処理推進機構）は2026年10月9日の注意喚起で、外部に公開しているアプリケーションの未適用パッチの確認とログの点検を、速やかに実施すべき対策として挙げました（出典：IPA 注意喚起（2026年10月9日））。会社のWordPressサイトも、この「外部に公開しているアプリケーション」のひとつです。
更新を何年も止めたままのサイトで何が起きるかは、何年も放置したホームページの危険で詳しく書いています。本記事は「では具体的にどこを見て、何をするか」の手順に絞ります。
WordPressセキュリティ対策の10項目一覧（優先順）
弊社が診断と保守で実際に確認している項目を、優先順に10個並べました。並び順は、公式のセキュリティ強化ガイド（出典：WordPress.org「Hardening WordPress」）の推奨内容をもとに、中小企業のサイトで穴になりやすい順へ編集部が組み替えたものです。
| 項目 | 確認すること | 担当・目安時間 |
|---|---|---|
| 1. 本体とプラグインの更新 | 管理画面に更新の通知が溜まっていないか | サイト担当・15分 |
| 2. 不要プラグイン・テーマの削除 | 使っていないものが「停止」のまま残っていないか | サイト担当・15分 |
| 3. ログイン保護 | パスワードの長さと使い回し、二段階認証、ユーザー名 | 管理者全員・30分 |
| 4. バックアップ | 自動で取れているか、戻す手順を知っているか | サイト担当・30分 |
| 5. https化と証明書 | 鍵マークが出るか、証明書の期限が切れていないか | 誰でも・5分 |
| 6. PHPのバージョン | サポート中の系列か（サーバー会社の管理画面で確認） | サイト担当・10分 |
| 7. 管理者アカウントの棚卸し | 退職者や以前の制作会社のIDが残っていないか | 総務・15分 |
| 8. フォームのスパム対策 | bot送信が素通りしていないか | サイト担当・15分 |
| 9. 改ざんの兆候 | 見覚えのないページや別サイトへの転送がないか | 誰でも・10分 |
| 10. 検索結果の警告 | 検索結果やブラウザで自社サイトに警告が出ていないか | 誰でも・5分 |
1〜4は今週中に片付ける項目、5〜10は月1回の点検に組み込む項目です。いずれも「確認」までは専門知識がなくてもできます。確認した結果どう直すかで迷ったときに、外注を検討する位置づけです（最後の章で線引きを示します）。
より網羅的に点検したい場合は、運営者向けのチェックリストIPA「安全なウェブサイトの運用管理に向けての20ヶ条」が参考になります。
最初の4項目のやり方｜更新・削除・ログイン保護・バックアップ
1. 更新は「バックアップ→1つずつ→表示確認」の順で崩れを防ぐ
「更新したらサイトが崩れた」という経験から、更新そのものを止めてしまう会社は少なくありません。崩れが怖いのは当然ですが、止める代わりに順序で崩れを防ぎます。
- 1. 更新の前にバックアップを取る（戻せる状態を先に作る）
- 2. プラグインは1つずつ更新し、そのたびにトップページと主要なページの表示を確認する
- 3. 本体の更新は、プラグインを最新にしたあとに行う
- 4. 表示が崩れたら、直前に更新したものが原因と分かるので、バックアップから戻して個別に対処する
WordPress公式のガイドも、本体を常に最新に保つことと、自動更新の活用を挙げています。更新のたびに人手で確認する余裕がない場合は、セキュリティ修正だけ自動で当てる設定にして、月1回の点検日に全体を見る運用が現実的です。
2. 使っていないプラグインとテーマは「停止」ではなく「削除」する
停止中のプラグインも、ファイルはサーバーに残っています。残っているファイルに脆弱性があれば、そこが入口になり得ます。公式ガイドも、使っていないプラグインの削除を推奨しています。「いつか使うかもしれない」ものは、停止して1か月様子を見て、問題がなければ削除する、の2段階にすると判断しやすくなります。
3. ログイン保護は「長いパスワード・一般的な名前を避ける・二段階認証」
WordPressのログイン画面には、機械的なログイン試行が日常的に届きます。守り方は3つです。まず、推測されにくい長いパスワードを使い、他のサービスと使い回さないこと（作り方は会社のパスワード管理の現実的な方法へ）。次に、ユーザー名に「admin」のような一般的な名前を使わないこと。公式ガイドも、よくあるユーザー名を避けるよう明記しています。最後に、二段階認証を有効にすること。パスワードが破られても単独ではログインできなくなります。仕組みは多要素認証とは？会社で最初に設定する5つをご覧ください。
4. バックアップは「取れている」ではなく「戻せる」まで確認する
バックアップで確認するのは3点です。自動で取れているか、ファイルとデータベースの両方が対象か、そして戻す手順を誰かが知っているか。取っているつもりで止まっていた、戻し方を誰も知らなかった、が事故のときの定番です。持ち方の考え方はバックアップの3-2-1ルールで詳しく書いています。
残りの6項目は月1回の点検へ｜保守の現場で実際に見る状態
弊社は、情報漏えいが許されない業種のWebサイトの保守で、何年も更新されていないWordPress、https（暗号化）に未対応のままのサイト、証明書の期限切れ、バックアップが無い、といった状態を実際に見てきました。共通するのは技術の難しさではなく、納品のあと中を見る人がいない期間が続いていたことです。同じ構図で見つかった穴の実例はWebアプリの点検で見つかった3つの穴にまとめています。
だからこそ、5〜10の項目は「月1回、15分の点検」として日付と担当を決めて回します。それぞれの見方は次のとおりです。
5. https化と証明書：自社サイトをブラウザで開き、アドレス欄に鍵マークが出るかを見ます。「保護されていない通信」などの表示が出る場合は、サーバー会社のヘルプでhttps化（SSL証明書の設定）を確認し、証明書が自動更新になっているかも見ておきます。
6. PHPのバージョン：WordPressを動かすプログラム言語PHPには、系列ごとにサポート期限があります。2026年10月時点でセキュリティ修正が提供されるのは8.2〜8.5の系列で、8.2も2026年12月31日に終了予定です（出典：PHP公式 Supported Versions）。自社の系列はサーバー会社の管理画面で確認・切り替えができます。切り替えの前にはバックアップと表示確認を挟んでください。
7. 管理者アカウントの棚卸し：WordPressの「ユーザー」一覧を開き、退職者・以前の制作会社・誰のものか分からないIDが管理者権限のまま残っていないかを確認します。消す手順は退職者のアカウント削除チェックリストが使えます。
8〜10. フォームのスパム・改ざんの兆候・検索結果の警告：問い合わせフォームにbot送信が素通りしていないか、見覚えのないページや別サイトへの転送が起きていないか、検索結果やブラウザに自社サイトへの警告が出ていないか、を確認します。フォームのスパム対策の具体的な設定と、改ざんの兆候の見つけ方・復旧の順序は、この連載で後日それぞれ1本の記事として取り上げます。
なお、弊社はIPAとJPCERT/CCが公開する脆弱性情報を毎朝自動で収集し、自社と保守先に関係するものだけを拾っています。ここまでやらなくても、月1回の点検日に管理画面の更新通知を確認すれば大半の修正は追えます。大事なのは情報量ではなく、見る日が決まっていることです。
自分でやる範囲と外注する範囲の線引き
10項目はどれも「確認」までは自社でできます。線引きの目安は次のとおりです。
- 自社でやる：10項目の確認、プラグインの更新と削除、パスワードと二段階認証の設定、月1回の点検の運用
- 外注を検討する：更新で表示が崩れたときの復旧、サーバー側の設定変更（PHPの切り替えやhttps化で迷う場合）、改ざんが疑われるときの調査と復旧
- 外注しても手放さない：管理者アカウントの一覧と、バックアップの保存場所の把握。これを把握していないと、保守会社を変えるときに詰まります
すでに制作会社や保守会社に任せている場合は、次の3つを聞くだけで現状が分かります。「更新は誰が、どの頻度でやっていますか」「バックアップはどこに、何世代残っていますか」「異常があったとき、どこに連絡すればよいですか」。即答できない契約は、保守ではなく「作って終わり」になっている可能性があります。任せる先を選ぶときは料金の安さより、点検の項目と報告の頻度が明文化されているかを見てください。
本記事の内容は、2026年10月時点で公表されている資料をもとに編集部が整理したものです。最新の情報は各出典でご確認ください。
自社のWordPressの「今の状態」を、URLだけで点検する
10項目を自分で確認する時間が取れない、確認しても判断に迷う、という場合は外部の点検が近道です。セキュリティ診断は5,000円（税抜）の固定料金で、サイトのURLだけで始められます。点検後の更新・バックアップ・監視は、月額9,800円（税抜）からの保守で引き受けます。
セキュリティ診断の内容を見る →よくある質問
Q. セキュリティプラグインを入れれば、それだけで安全になりますか？
ログイン試行の制限や変更の検知など有効な機能はありますが、更新・バックアップ・アカウントの棚卸しの代わりにはなりません。入れて終わりではなく、動き続けているか・通知を誰が見るかまで決めて、月1回の点検で確認してください。道具を足す前に、本記事の1〜4を先に整えるのが順番です。
Q. 更新したらサイトが崩れそうで怖いです。どうすればよいですか？
更新を止めるのではなく、順序で崩れを防ぎます。更新の前にバックアップを取り、プラグインを1つずつ更新して、そのたびに主要なページの表示を確認します。崩れても直前の更新が原因と特定でき、バックアップから戻せます。何年も更新していないサイトは一度に上げると崩れやすいので、段階的に進めるか外部への依頼を検討してください。
Q. 制作会社に保守を任せています。自社では何もしなくてよいですか？
任せていても、「更新は誰がどの頻度で行うか」「バックアップはどこに何世代あるか」「異常時の連絡先」の3つは自社で把握しておいてください。管理者アカウントの一覧も自社で持っておくと、担当者の交代や保守会社の変更のときに困りません。本記事の10項目は、そのまま確認の依頼に使えます。
Q. 自社のWordPressが安全かどうか、手早く確かめる方法はありますか？
まず、管理画面にログインして更新の通知が溜まっていないか、ブラウザで鍵マークが出るか、バックアップが動いているか、の3点を見てください。ここで答えに詰まる場合は、外部からの点検が近道です。弊社のセキュリティ診断は、サイトのURLだけで本記事の10項目を含む点検を行い、優先度つきの対策リストをお渡しします。