WordPressで見つかる脆弱性（セキュリティの穴）の9割はプラグインです。プラグインを入れることは、他人が書いたプログラムに、サイトの中で管理者と同じ力を持たせることでもあります。入れる前に「今も手入れされているか」を確かめ、使っていないものは停止ではなく削除し、残すものは更新が届く状態にしておきましょう。
この記事は、WordPressのサイトを持っていて「プラグインが危ないと聞くけれど、何をどう判断すればいいのか分からない」という担当者に向けて書いています。WordPress全体の対策はWordPressのセキュリティ対策で、脆弱性の数字の全体像はWordPressは安全か？で解説しています。この記事ではプラグインに絞って、狙われる理由と、入れる・残す・消すの判断基準をまとめます。
結論：プラグインは「他人が書いたプログラム」をサイトに入れること
WordPress公式のドキュメントは、公式ディレクトリのプラグインについても「品質はさまざまで、作りかけのものも多い」と書いています。
Patchstack社の2026年の報告によると、2025年にWordPressの周辺で新しく見つかった脆弱性は11,334件で、その91%がプラグイン、9%がテーマでした。WordPress本体で見つかったのは6件です。本体をいくら最新にしていても、穴の多くは後から入れた部品の側にある、ということです。
プラグインを全部やめる必要はありません。次の3つを決めておきましょう。
- 入れる前に確かめる
この記事の「7つの確認点」で判断します。 - 入っているものを把握する
何のために使い、誰が更新を見ているかを表にします。 - 要らないものは消す
停止ではなく削除します。更新が止まったものは代わりを探します。
プラグインの脆弱性が多い5つの理由
① 作り手の幅がとても広い
プラグインは個人でも会社でも作って公開でき、WordPress公式も、多くはボランティアが作っていると説明しています。1人の開発者が空いた時間に手入れしているものもあり、安全への気配りや、穴を直す速さに差が出ます。
② サイトの中で、強い力を持って動く
プラグインは、本体と同じPHPのプログラムとして動きます。データベースの読み書きも、ファイルの作成も、ユーザーの追加もできます。そのため、プラグインに1つ穴があると、攻撃者はそこを通じてサイト全体に手が届くことがあります。お問い合わせフォームの小さなプラグインの穴が、管理者の乗っ取りにつながることもあります。
③ 確かめるべきことを、作り手が自分で書く必要がある
WordPressの開発者向けハンドブックは、利用者が入力した値は使う前に確かめて整え、画面に出すときは最後に無害化（エスケープ）するよう求めています。外から来るデータも、データベースのデータも信用しないように、とも書かれています。こうした確認は作り手が入口ごとに書く必要があり、1か所でも抜けると穴になります。Patchstackの報告でも、実際の攻撃にいちばん多く使われたのは、「この人にこの操作を許してよいか」の確認漏れ（アクセス制御の不備）でした。
④ 公式の審査は「最初の1回」が中心
WordPress.orgのガイドラインでは、公開前にプラグインを確認する一方、セキュリティの最終的な責任は開発者にあると明記しています。更新のたびに同じ確認がされるとは書かれていません。
⑤ 更新は、サイトの持ち主が受け取らないと届かない
修正版が出ても、サイトで更新しなければ穴は開いたままです。プラグインの自動更新は、プラグインごとに自分で有効にする仕組みです。さらに、Patchstackの報告では、脆弱性の46%は、公表の時点で開発者からの修正が間に合っていませんでした。更新したくても、修正版がまだない期間があるということです。
よくある穴の種類と、起きること
脆弱性の情報に並ぶ英語の用語を、「何が起きるか」で整理しました。
| 情報に出てくる言葉 | どんな穴か | 起きること |
|---|---|---|
| Privilege Escalation（権限昇格） | ふつうのユーザーや、ログインしていない人が、管理者の権限を手に入れられる | 管理者として乗っ取られ、何でもされてしまう |
| Broken Access Control・Missing Authorization（アクセス制御の不備） | 許されていない人でも、設定の変更などの操作ができてしまう | 設定を書き換えられる、情報を見られる |
| Cross-Site Scripting（XSS） | 入力した文字が、そのままプログラムとして画面に出てしまう | 訪問者や管理者のブラウザで不正な処理が動く。管理者の乗っ取りにつながることもある |
| SQL Injection（SQLi） | 入力した文字で、データベースへの命令を書き換えられる | 会員情報などを抜き取られる、書き換えられる |
| Arbitrary File Upload（任意のファイルの書き込み） | 画像などの代わりに、プログラムのファイルを置ける | サイトの中で攻撃者のプログラムが動く（最も深刻な部類） |
あわせて「Unauthenticated（認証なし）」という言葉に注目してください。ログインしていない誰でも攻撃できる、という意味です。「Subscriber+（購読者以上）」なら、ログインできる人が対象です。
2026年に悪用されたプラグインの例
2026年も、広く使われているプラグインで、実際の攻撃に使われた脆弱性が見つかっています。Patchstackの脆弱性データベースで「悪用が確認された」と印が付いているものから、2つを紹介します。
| プラグイン | Kirki | User Registration & Membership |
|---|---|---|
| 公表日 | 2026年6月1日 | 2026年3月3日 |
| 識別番号 | CVE-2026-8206 | CVE-2026-1492 |
| 穴の種類 | パスワードを忘れたときの処理を悪用した、認証なしの権限昇格 | 会員登録の処理を悪用した、認証なしの権限昇格 |
| 深刻度（CVSS） | 9.8（10点満点） | 9.8 |
| 対象の版 | 6.0.0〜6.0.6 | 5.1.2以前 |
| 修正された版 | 6.0.7 | 5.1.3 |
どちらもログインしていない人が管理者になれてしまう穴で、攻撃者は対象の版を使うサイトを自動で探して狙います。
人気のプラグインでも、穴は続けて見つかる
Kirkiは、WordPress.orgのプラグインディレクトリで有効インストール数40万以上と表示されている、広く使われているプラグインです。Patchstackのデータベースでは、上の穴のあとも、2026年8月中旬から10月下旬までの間に、Kirkiの脆弱性が20件登録されています（深刻度はさまざまです）。開発者は更新を続けていて、プラグインのページの変更履歴にもセキュリティの修正が並んでいます。
Kirkiが特別に危ないという話ではなく、人気で機能の多いプラグインほど穴は見つかり続けるということです。開発者が直し続けているかどうかが、選ぶときの目安になります。
入れていいプラグインの見分け方（7つの確認点）
新しくプラグインを入れる前に、WordPress.orgのプラグインのページで次の7点を確かめます。どれか1つで決めるのではなく、全体で判断してください。
| 確認点 | 見る場所 | 安心できる見え方 | 注意したい見え方 |
|---|---|---|---|
| ① 本当に必要か | 自分たちの要件 | 本体やテーマの機能では足りないと確かめた | 「便利そう」で入れようとしている |
| ② 最終更新日 | ページ右側の「最終更新日」 | ここ数か月以内に更新がある | 1年以上更新がない |
| ③ 対応しているWordPressの版 | 「検証済み最新バージョン」（英語版では Tested up to） | 今の最新版に近い | 何世代も前の版のまま |
| ④ 使っているサイトの数 | 「有効インストール数」 | 多いほど、問題が早く見つかり、報告されやすい | 極端に少ない（ただし、少ないこと自体が悪いわけではない） |
| ⑤ サポートの対応 | 「サポート」欄の「過去2ヶ月以内に解決した問題」 | 質問に返事がついている | 質問が放置されている |
| ⑥ セキュリティの修正の扱い | 「変更履歴」 | セキュリティの修正が、何を直したか分かる形で書かれている | 長いあいだ変更履歴が動いていない |
| ⑦ 脆弱性の情報 | Patchstackなどの脆弱性データベースで、プラグイン名を検索 | 過去の穴が、短い期間で直されている | 修正されないまま残っている穴がある |
WordPress公式のドキュメントも、WordPress本体の最新の更新のあとに更新されていないプラグインは、互換性がないか、分からないことがあると注意しています。管理画面の「プラグイン」→「新規追加」の一覧でも、各プラグインが今のWordPressの版と互換性があるか、まだ検証されていないかが表示されます。
今入っているプラグインの棚卸し
すでに動いているサイトでは、まず「何が入っているか」を表にします。管理画面の「プラグイン」→「インストール済みプラグイン」を開き、1つずつ書き出します。当ラボでは、次の5つの列で整理することをおすすめしています。
| 列 | 書くこと |
|---|---|
| 役目 | 何のために入れたか（例：お問い合わせフォーム） |
| 状態 | 有効か停止か |
| 止めたら困るか | 止まったときに困る度合い |
| 更新の受け取り方 | 自動更新か、手動か、有料ライセンスか |
| 担当 | 更新後に動作を確かめる人 |
表を作ると、たいてい次のようなものが見つかります。
- 停止したまま何年も置かれているプラグイン
- 同じ役目のプラグインが2つ以上ある（例：バックアップ、SEO、キャッシュ）
- 入れた人が辞めていて、役目が誰にも分からないプラグイン
- 「更新があります」の表示が出たまま、更新されていないプラグイン
- プラグインの詳細の画面で、何年も更新されていないと分かるもの
なお、wp-content/mu-plugins というフォルダに置かれた「必須プラグイン（mu-plugins）」は、通常のプラグインの一覧には表示されず、管理画面から停止もできません。制作会社が入れていることがあるので、サーバーのファイルマネージャーでこのフォルダの中身も確かめておくと安心です。
使っていないプラグインの消し方
「停止」と「削除」は違う
| 停止 | 削除（管理画面から） | |
|---|---|---|
| プラグインの処理 | 止まる | 止まる |
| サーバー上のファイル | 残る | 消える |
| プラグインの設定やデータ | 残る | プラグインが用意した後片付けの処理があれば消える |
| 向いている場面 | 不具合の切り分けなど、一時的に止めたいとき | もう使わないと決めたとき |
WordPressの開発者向けハンドブックでも、停止は一時的な片付け、削除（アンインストール）は永久的な片付け、と役目が分けられています。停止しただけでは、設定もファイルも残ります。
安全に削除する手順
- バックアップを取る
ファイルとデータベースの両方を取ります。プラグインの削除で、そのプラグインが保存していたデータも消えることがあります。 - どこで使っているかを確かめる
ショートコード（[〇〇]のような記号）やブロックとして、固定ページに埋め込まれていないかを見ます。消すと、その場所が崩れたり、記号がそのまま表示されたりします。 - 停止して、数日ようすを見る
表示やフォームに問題が出ないかを確かめます。 - 管理画面から削除する
「インストール済みプラグイン」で、停止したプラグインの「削除」を押します。WordPress公式は、この管理画面からの削除を「安全で簡単な方法」としています。
wp-content/plugins からプラグインのフォルダを消す方法もあります。ただし、この方法ではプラグインの後片付けの処理が動かないため、設定やデータベースの表が残ることがあります。WordPress公式も、この方法は必要なときだけにするよう書いています。更新が止まった・公開停止になったときは
WordPress.orgのガイドラインでは、セキュリティの問題があるプラグインは、直るまで公式ディレクトリでの公開が止められます（閉鎖）。とても深刻な場合は、WordPressのセキュリティチームが直接更新を配ることもある、とされています。ただし、閉鎖されたまま開発者が直さなければ、修正版は出ません。すでにサイトに入っているプラグインは、そのまま動き続けます。
使っているプラグインのページが開けない、「閉鎖されました」と出る、何年も更新がない、という場合は、次の順に考えます。
- 代わりのプラグインを探す
7つの確認点を満たすものを、テスト環境で試してから入れ替えます。 - その機能自体をやめられないか考える
ほとんど使われていない会員機能やコメント欄なら、機能ごとやめるのが確実です。 - すぐに替えられないなら、手前で守る
WAF（攻撃を手前で止める仕組み）で、修正版が出るまでの間を守ります。
更新と確認を続けるのが難しい場合は、WordPress以外の方式に移る選択肢もあります。どの道が合うかはWordPressをやめたい人へ：理由別に分かる「次の選び方」で、プラグインの穴が見つかってから攻撃までの速さはAIが脆弱性を見つける時代で解説しています。すでに何かおかしいと感じている場合は、乗っ取りを確認する方法を先に見てください。
よくある質問
WordPress.orgの公式ディレクトリにあるプラグインなら、安全ですか？
安全だとは言い切れません。WordPress.orgのガイドラインは、セキュリティの最終的な責任は開発者にあるとしています。数十万のサイトで使われる公式ディレクトリのプラグインでも、悪用された脆弱性が見つかっています。公式ディレクトリにあることは最低限の条件と考え、7つの確認点もあわせて見てください。
停止しているプラグインも、攻撃されることはありますか？
停止すれば処理は基本的に動きませんが、ファイルはサーバーに残ります。ファイルに直接アクセスできる作りのものや、誰かが誤って有効にする場合を考えると、使わないものは削除するほうが安全です。
有料のプラグインは、無料のものより安全ですか？
そうとは限りません。Patchstackの2026年の報告では、有料・一部有料のプラグインやテーマで見つかった脆弱性は全体の29%で、実際の攻撃に使える深刻なものの割合が高く、悪用が確認された脆弱性は無料のものの3倍あったとされています。また、有料のものは公式ディレクトリを通さずに更新を受け取ることが多く、ライセンスが切れると更新が届かなくなることがあります。
プラグインの自動更新は、すべて有効にしてよいですか？
穴が見つかってから攻撃までの時間は短いため、自動更新は有効にするのがおすすめです。ただし、更新で表示が崩れることもあります。フォームや決済など止まると困るものは、更新後に動作を確かめる担当を決め、バックアップも取れるようにしておきましょう。
更新しても、また別の脆弱性が見つかります。キリがありません。
人気のあるプラグインほど調べる人も多く、穴が見つかり続けることはあります。更新を続けられる体制があれば問題は小さくできますが、担当者がいない、更新の確認まで手が回らないという場合は、プラグインに頼る部分そのものを減らす方法もあります。WordPressをやめたい人へで、理由別の選び方をまとめています。
参照元
- Patchstack：State of WordPress Security in 2026（2026年2月）
- WordPress.org Documentation：Manage Plugins（2026年1月10日更新）
- WordPress Plugin Handbook：Detailed Plugin Guidelines（2026年3月11日更新）
- WordPress Plugin Handbook：Uninstall Methods
- WordPress Common APIs Handbook：Security（2026年7月23日更新）
- Patchstack Database：Kirki 6.0.0〜6.0.6 Unauthenticated Privilege Escalation（CVE-2026-8206）
- Patchstack Database：User Registration & Membership 5.1.2以前 Unauthenticated Privilege Escalation（CVE-2026-1492）
- WordPress.org Plugins：Kirki
- 最終確認日：2026年11月1日
URLを送るだけで、外から確認できる範囲で、古いプラグインや危険の兆しがないかをお返しします。
運営：株式会社イメージ・ジャパン（1997年創立）。WordPressからの乗り換えと乗り換え後の見守りのほか、Web制作・SEO、AI導入支援、自社AIツール（VCT・Symphy・Mapvoice AI）の開発・運営を手がけています。
