WordPressは本当にセキュリティに弱いのか｜脆弱性の9割はプラグインという数字から考える

2025年の1年間に、WordPressのまわりで見つかった脆弱性は11,334件。そのうち、WordPress本体のものは6件で、どれも危険度の低いものでした。残りは、プラグインが91%、テーマが9%です。

これは、WordPressのセキュリティを専門に調べているPatchstackが公開している数字です。「WordPressはセキュリティに弱い」とよく言われますが、数字を見ると、穴の多くは本体ではなく、その外側にあります。

10月に出たWordPress 7.1.3では、修正されたセキュリティの問題7件のうち3件を、AIの開発元のAnthropicが報告していました。

WordPressがセキュリティに弱いと言われる4つの理由

1. ソースコードが公開されている（オープンソース）
2. 使っているサイトが多く、狙われやすい
3. 更新されないまま放置されているサイトが多い
4. プラグインやテーマを自由に足せる

どれも事実です。

世界中にWordPressのサイトがあるぶん、古いWordPressやPHP、古いプラグインのまま動いているサイトも大量にあります。攻撃する側から見ると、同じ手口がそのまま通るサイトを、まとめて探せるということです。

ただし、1の「ソースが公開されている」は、弱さだけを意味しません。誰でもコードを読めるので、悪用される前に見つけて報告する人も大勢います。

数字で見ると、穴の多くは本体の外にある

Patchstackが2026年に公開した報告書の数字です。

参考：State of WordPress Security in 2026（Patchstack）

本体の脆弱性は、1年で6件です。一方、プラグインとテーマからは1万件を超える脆弱性が見つかっています。しかも、その半分近くは、公表された時点で開発元の修正が間に合っていませんでした。

「WordPressが弱い」というより、「何を入れて、どう管理しているか」で安全さが大きく変わります。

WordPress本体が安全に保たれている仕組み

1. 50人以上のセキュリティチームが本体を見ている

WordPress.orgによると、本体のセキュリティは、中心の開発者やセキュリティの研究者など50人以上の専門家からなるチームが担当しています。脆弱性の報告は、公表する前にこのチームが受け取り、修正版を用意してから公開します。

報告するのは、チームの外の研究者も同じです。2026年10月に公開されたWordPress 7.1.3では、7件のセキュリティの修正のうち3件をAnthropicが報告しています。OpenAIと共同で調べたTrail of Bitsの名前もあり、AIの開発元も脆弱性を探す側に加わっています。

参考：Security（WordPress.org）

2. 小さな更新は自動で入り、古いバージョンにも修正が届く

セキュリティの修正を含む小さな更新（7.1.2から7.1.3など）は、初めから自動で入る設定になっています。管理者が何もしなくても、修正が届く仕組みです。

公式にサポートされているのは最新版だけですが、セキュリティの修正は、4.7までの古いバージョンにもさかのぼって配られています。

3. サーバー会社やセキュリティ会社と連携して公開する

WordPress.orgは、大きなサーバー会社やセキュリティ会社と連携して、修正版の公開のタイミングを合わせ、WAF（攻撃を遮断する仕組み）での防ぎ方も一緒に用意すると書いています。

同じような動きは、2026年10月のPHPの脆弱性でも見られました。修正版が出る前から、国内のレンタルサーバー各社が管理画面を止めるなどの対応を始め、翌日には対応完了を発表した会社もありました。

それでも被害が出るのはどこか

更新されていないプラグイン・テーマ

脆弱性の91%はプラグインで見つかっています。被害の入口になるのは、脆弱性が見つかったのに更新されていないプラグインやテーマです。狙われやすい脆弱性は、公表から数時間で攻撃が始まります。使っていないプラグインを残しておくと、それだけ入口が増えます。

正規の更新そのものに入り込む攻撃

2026年10月には、SEOプラグイン「Rank Math PRO」の配布ファイルに不正なコードが入り込み、約11時間、正規の更新として配られました。同じ月には、バックアッププラグイン「UpdraftPlus」の開発元が不正アクセスを受け、遠隔管理用の接続キーが盗まれています。

どちらもWordPress本体の弱さとは関係ありません。Rank Math PROは、更新したサイトに届きました。UpdraftPlusは、遠隔管理のUpdraftCentralにつないでいたサイトが対象でした。防ぎきれない攻撃に備えるには、問題が起きる前の状態に戻せるバックアップが頼りになります。

管理画面のログイン

管理者としてログインされると、WordPressでは何でもできてしまいます。使い回したパスワードや、短いパスワードのままの管理者アカウントは、本体がどれだけ安全でも入口になります。

WordPressは初期設定のままだと、ログインに使うユーザー名も外から調べられます。TCDの検証でも、REST APIからユーザー名がそのまま見えました。

サーバー側の対策だけに頼る

Patchstackの報告書では、サーバー会社が用意している一般的な防御で止められたのは、実際に悪用されたWordPress向けの脆弱性を使った攻撃のうち12%、より一般的な脆弱性も含めた2回目のテストでも26%だったとしています。サーバーのWAFは入れておきたい対策ですが、それだけで守れるわけではありません。

まとめ

WordPress本体の脆弱性は、1年で6件しか見つかっていません。弱いのはWordPressそのものではなく、更新されないプラグイン、使い回したパスワード、戻せないサイトです。

具体的な対策は、更新・ログイン・バックアップの順に、こちらの記事でまとめています。

WordPressそのものについては、こちらの記事で紹介しています。