無料でサイト診断
SECURITY

WordPressは安全か？
2026年の脆弱性データで見る「本当の危険度」

セキュリティ公開・最終確認：WordPress乗り換えセンター編集部
WordPressは安全か
この記事の結論

WordPress本体は、重大な穴が見つかることは多くありません。危ないのは更新されないプラグイン、テーマ、PHPです。2025年に見つかったWordPress関連の脆弱性の91%はプラグインでした。更新を続けられるなら安全に使え、続けられないなら危険が高まります。

この記事の情報について2026年10月27日時点の、IPA（情報処理推進機構）、WordPress公式、PHP公式、セキュリティ企業Patchstackの調査報告をもとにまとめています。数字の出典は末尾にまとめました。

結論：WordPressは「使い方しだい」で安全にも危険にもなる

「WordPressは危ない」という話をよく聞きます。半分は正しく、半分は誤解です。

つまり、WordPressが安全かどうかは、更新を続けられるかどうかで決まります。

なぜWordPressは狙われるのか

WordPressが狙われやすい理由は、主に3つあります。

  1. 使っているサイトがとても多い
    世界中の非常に多くのサイトがWordPressで作られています。1つの穴が見つかれば、同じ穴を持つ大量のサイトを一度に狙えます。
  2. プログラムが公開されている
    WordPressは誰でも中身を見られるオープンソースです。良い面も大きい一方で、攻撃者も仕組みを調べられます。
  3. 作りが共通している
    管理画面の場所やファイルの並びが、多くのサイトで同じです。攻撃を自動化しやすくなります。
攻撃者は「会社」ではなく「穴」を探す攻撃の多くは、ネット全体を自動で調べ、穴の開いたサイトを見つけしだい攻撃する方法で行われます。「うちは小さいから狙われない」ということはありません。

2026年の数字で見る危険度

WordPressのセキュリティを専門に調べるPatchstack社は、2026年2月に年次報告を公開しています。主な数字は次のとおりです。

項目数字
2025年に見つかったWordPress関連の脆弱性11,334件（前年より42%増）
見つかった場所プラグイン91%、テーマ9%。本体は6件（いずれも優先度の低いもの）
大量に悪用されるおそれが高い、深刻なもの1,966件（17%）
大量に悪用された穴の、公表から大量悪用までの時間（中央値）約5時間
公表の時点で、まだ修正版がなかったもの46%
一般的なホスティング側の防御が止められた、WordPress特有の攻撃12%

この数字から、次のことが分かります。

脆弱性の9割はプラグイン

本体よりも、後から入れるプラグインのほうが圧倒的に危険です。プラグインを多く入れているほど、穴が見つかる場所も増えます。使っていないプラグインは、停止するだけでなく削除しましょう。

公表から攻撃まで「数時間」

狙われやすい穴は、公表されたその日のうちに攻撃が始まります。「月に1回まとめて更新」では間に合いません。AIによって脆弱性の発見が速くなっていることも背景にあります。詳しくはAIが脆弱性を見つける時代：公開から攻撃まで「数時間」の意味をご覧ください。

修正版がない穴も半数近い

公表の時点で修正版がない穴が46%ありました。更新できない間は、攻撃を手前で止める仕組み（WAF）や、プラグインの停止で守る必要があります。

サーバー会社に任せきりにはできない

一般的なレンタルサーバーの防御だけでは、WordPress特有の攻撃の多くを止められませんでした。サイトの側での対策が欠かせません。

2026年に実際に起きたこと

「本体は比較的安全」と書きましたが、2026年は本体と土台の両方で重大な穴が見つかった年でもありました。

時期出来事影響
2026年7月WordPress本体の脆弱性「wp2shell」（CVE-2026-60137、CVE-2026-63030）標準の構成でも、ログインなしで遠隔からプログラムを実行されるおそれ。WordPress 6.9.0〜6.9.4、7.0.0〜7.0.1などが対象。米国CISAが悪用を確認し、攻撃の手順も公開された
2026年10月PHP本体の脆弱性「PHP2Shell」（CVE-2026-109618、CVE-2026-109619）WordPressの土台のPHPに穴。WordPressを更新しても直らず、PHPの更新が必要。米国CISAが悪用を確認

wp2shellでは、WordPress.orgが強制的な自動更新を行いました。それでもIPAは、環境や設定によっては更新されていない、または失敗している可能性があるとして、管理画面でバージョンを確かめるよう呼びかけています。

PHP2Shellの対処法はWordPressセキュリティの今：2026年10月のPHP脆弱性で、やるべきこと、PHPのバージョンの確かめ方はPHPのバージョンとサポート期限の確認方法で解説しています。

安全に使えているサイトの条件

WordPressを安全に使えているサイトには、共通点があります。

最後の項目が、実はいちばん大切です。制作会社に保守を任せている場合は、緊急時の対応時間を契約で確かめておきましょう。

あなたのサイトの危険度チェック（10問）

当てはまるものを数えてください。

  1. WordPressの管理画面に、最後にログインしたのがいつか思い出せない
  2. 「更新があります」の表示が出たままになっている
  3. PHPのバージョンを知らない、または8.1以前を使っている
  4. 使っていないプラグインが入ったままになっている
  5. 1年以上更新されていないプラグインを使っている
  6. 管理者のユーザー名が「admin」など推測しやすいもの
  7. 2段階認証を設定していない
  8. バックアップがあるか、どこにあるか分からない
  9. サイトを作った制作会社と連絡が取りにくい
  10. 昔のキャンペーンサイトなど、放置しているWordPressがある
当てはまった数目安
0〜2個よく管理できています。今の体制を続けましょう
3〜5個注意が必要です。まずPHPのバージョンと、不要なプラグインの削除から始めましょう
6個以上危険度が高い状態です。更新の体制を作るか、守る場所の少ない仕組みへの乗り換えを検討してください

更新を続けるのが難しい場合の選択肢は、脱ワードプレス完全ガイドとWordPressの代替CMS比較で解説しています。

よくある質問

WordPressは危ないから、使わないほうがいいですか？

一概にそうとは言えません。WordPress本体の重大な穴は多くなく、更新を続けていれば安全に使えます。ただし、更新を続ける人や体制がない場合は、守る場所の少ない仕組みに移ることも検討してください。

WordPressの脆弱性は、どこで多く見つかっていますか？

プラグインです。Patchstack社の報告では、2025年に見つかったWordPress関連の脆弱性11,334件のうち、91%がプラグイン、9%がテーマでした。WordPress本体で見つかったのは6件で、いずれも優先度の低いものでした。

小さな会社のサイトでも狙われますか？

狙われます。攻撃の多くは、ネット全体を自動で調べて穴の開いたサイトを探す方法で行われます。会社の規模や知名度はほとんど関係ありません。

自動更新をオンにしていれば安全ですか？

安全性は大きく上がりますが、それだけでは十分ではありません。2026年7月の脆弱性「wp2shell」では、WordPress.orgが強制的な自動更新をしましたが、IPAは環境によっては更新されていない、または失敗している可能性があるとして、管理画面でバージョンを確かめるよう呼びかけました。PHPの更新も別に必要です。

レンタルサーバーのセキュリティ機能があれば安心ですか？

安心とは言えません。Patchstack社の検証では、一般的なホスティング側の防御が止められたWordPress特有の攻撃は12%でした。サイトの側でも更新と不要なプラグインの削除を続けてください。

自分のサイトの危険度を知るには、どうすればいいですか？

この記事の10問のチェックで、おおよその傾向が分かります。より詳しく知りたい場合は、当センターの無料サイト診断をご利用ください。URLを送るだけで、外から確認できる範囲で危険度をお返しします。

参照元

あなたのサイトの危険度を、無料で診断します

URLを送るだけ。PHPやプラグインの状態から危険度をお返しします。営業電話はしません。

無料でサイト診断 →
WordPress乗り換えセンター編集部

運営：株式会社イメージ・ジャパン（1997年創立）。WordPressからの乗り換えと乗り換え後の見守りのほか、Web制作・SEO、AI導入支援、自社AIツール（VCT・Symphy・Mapvoice AI）の開発・運営を手がけています。

あわせて読みたい

WordPressセキュリティの今：2026年10月のPHP脆弱性で、やるべきこと

WordPressを更新しても危ない？PHPのバージョンとサポート期限の確認方法

AIが脆弱性を見つける時代：公開から攻撃まで「数時間」の意味
無料でサイト診断（URLを入れるだけ）