WordPress の脆弱性、放っておくとどうなる?会社のサイトで実際に起きることと、まずやること
先に結論
- 脆弱性は、ホームページの「鍵の壊れた窓」のようなものです。直し方(更新)が出ても、当てなければ開いたままです。
- 放っておくと、お客さんの情報を抜き取られ、国への報告が必要になることもあります。それでも、見た目はふつうのままのことがあります。
- まず自分で見られる6か所を見て、バックアップを取ってから更新します。不安なら、保守の会社か作った会社に聞いてください。
脆弱性は、ホームページの「鍵の壊れた窓」
脆弱性(ぜいじゃくせい)は、ホームページを動かしているプログラムの、セキュリティ上の弱点のことです。家にたとえると、鍵の壊れた窓です。攻撃する側は、壊れた窓がある家を、プログラムを使って自動で探すことがあります。
WordPress のサイトは、WordPress 本体、テーマ、プラグイン、そしてサーバーで動く PHP という、いくつものプログラムでできています。どれかに弱点が見つかると、作っている側が直したもの(更新)を出します。ただし、更新はサイトに当てないと効きません。
-
1
弱点が見つかる
WordPress やプラグイン、PHP に、入り込める穴が見つかる
-
2
直し方と穴の場所が公表
直した版(更新)と一緒に、どこに穴があったかも知れ渡る
-
3
直していないサイトが狙われる
更新した更新していない
穴の場所は分かっているので、開いたままのサイトを探しに来る
穴の場所が公表されるので、
直していないサイトほど狙われる
やっかいなのは、更新が出ると「どこに穴があったか」も世の中に知られやすくなることです。直していないサイトは、場所の分かった壊れた窓が開いたままの状態になります。たとえば7月の WordPress 本体の弱点では、IPA が「脆弱性を実証するコードが公開されており、今後、これらの脆弱性の悪用が拡大する可能性があります」と呼びかけていました。穴の開け方まで出回れば、狙う側の手間はさらに減ります。
放っておくと、何が起きるのか
入り込まれたサイトでは、次のようなことが起きることがあります。どれも、取引先やお客さんの信用に直結します。
-
検索結果に警告が付く
会社名で検索した人に、警告の付いた結果が出ます。
-
知らないサイトに飛ばされる
開いた人が、迷惑なサイトや不正なソフトのあるサイトに移されます。
-
知らない管理者が増える
見覚えのない管理者が作られ、いつでも入られる状態になります。
-
不正なプログラムを置かれる
外から操るためのファイルを置かれ、データベースの中身を読まれるおそれがあります。
検索結果の警告は、Google が「サイトの既存のページが改ざんされた、またはスパムページが新たに追加された」と判断したときに出すものです。
会社にとって、何がまずいのか
画面に出る症状より怖いのは、その先です。入り込まれると、困るのは会社だけではありません。お客さんの情報や、お客さんそのものが被害にあいます。
- 中に入り込まれる
- お客さんの情報を抜き取られる問い合わせフォームに入力された名前・電話番号・メールアドレスや、サーバーに残っている記録を読まれるおそれがあります。
- 情報が漏れる
- 国への報告が義務になるサイトを改ざんされて、入力された個人情報が外に送られた場合などは、人数に関係なく個人情報保護委員会への報告が必要です。
- 別のサイトに飛ばされる
- お客さんが被害にあう入口になる会社のサイトを開いたお客さんが、迷惑なサイトや不正なソフトのあるサイトに移されます。
- 検索結果に警告
- 会社の信用が落ちる取引先やお客さんが会社名で検索すると、警告の付いた結果が出ます。Google は、警告が消えるまでサイトを開かないよう、見る人にすすめています。
個人情報保護委員会は、不正な目的で行われたおそれのある漏えいについて、発覚したら速やかに報告し、発覚した日から60日以内にくわしい報告をするよう定めています。何が漏れたのか、誰に連絡するのかを調べて、お客さんや取引先に説明するのは会社です。起きてから対応するより、起きる前に確かめる方がずっと軽く済みます。
見た目はふつうのまま、ということもある
いちばん気をつけたいのは、入り込まれても、サイトの見た目が変わらないことがある点です。ツクリコが PHP の更新のために調べたあるお客様のサーバーでは、サイトはどれもふつうに表示されていたのに、次のものが見つかりました。くわしくはPHP2shell の記事で紹介しています。
見る人から見えるところ
いつもどおり表示されている
サーバーの中
- 外から操るマルウェア 100個以上パスワードなしで、ファイルの書き換えやデータベースへの接続ができる作り
- 知らない管理者アカウント 10個以上見つかる少し前に作られていた
- ファイルを自由に出し入れできる道具画像を置く場所に、ほかの不正なプログラムと一緒に置かれていた
「今も表示されているから大丈夫」とは言えません。見た目では分からないので、中を確かめる必要があります。
2026年も、大きな発表が続いている
弱点の発表は、めずらしいことではありません。2026年も、WordPress のサイトに関わる大きな発表が続いています。たとえば7月と10月には、次のような発表がありました。
2026年7月
WordPress 本体に穴
WordPress 本体・プラグイン
PHP
サーバー
直し方管理画面で WordPress を更新する
管理者の権限がなくても、外からプログラムを動かされるおそれ。悪用も確認された
2026年10月
PHP に穴
WordPress 本体・プラグイン
PHP
サーバー
直し方サーバーの PHP を直す
(管理画面の更新では直らない)
首相のサイトや銀行まで、一時的に止める騒ぎになった
穴の場所が毎回ちがうので、
直す場所も、直す人もちがう
7月の弱点の影響を受けたのは、WordPress 6.8 以降の版です。WordPress の開発元は、自動更新で直す版を当てる対応をとりました。それでも IPA(情報処理推進機構)は、サーバーの設定などによっては自動更新が効いていなかったり、失敗していたりすることも考えられるとして、管理画面で版を確かめるよう呼びかけています。「自動で直るはず」と思い込まず、確かめることが大切です。
10月の弱点は、WordPress ではなく、その下で動く PHP にありました。こちらは管理画面で WordPress を更新しても直りません。直す場所がちがうので、何がどこで動いているかを分かっている人がいないと、手が止まってしまいます。
情報漏えいも、大きなものが増えている
弱点の発表が続く一方で、不正アクセスによる情報漏えいも増えています。東京商工リサーチは、上場企業とその子会社が公表した個人情報の漏えい・紛失事故を2012年から集計しています。2026年は、1,000万件以上の漏えいが、それまでの14年間の合計と同じ3回に達しました。
漏えいの原因は、メールのシステムやアプリへの不正アクセスなどさまざまで、WordPress に限った話ではありません。ただ、会社が預かっているお客さんの情報が狙われ、実際に大きな被害が続いているのは事実です。ホームページも、その入口の1つになりえます。
うちは大丈夫?自分で見られる6か所
次の6か所を見てください。1〜4は WordPress の管理画面で、5と6は管理画面に入れなくても見られます。どれも、見るだけで何も変わりません。
-
1
更新の数字がたまっていないか
左のメニューの「ダッシュボード」 → 「更新」
赤い丸の数字が出ていたら、当てていない更新があります。WordPress 本体、プラグイン、テーマのどれが古いかも、ここで分かります。
-
2
知らないプラグインはないか
「プラグイン」 → 「インストール済みプラグイン」
入れた覚えのないプラグインは、入り込んだ側が入れたものかもしれません。長いあいだ更新が出ていないプラグインは、作った人が手入れをやめている場合があります。
-
3
知らない管理者がいないか
「ユーザー」 → 上の「管理者」
権限が「管理者」の人だけが並びます。名前もメールアドレスも心当たりのない人がいたら、すぐに相談してください。
-
4
PHP の版が古くないか
「ツール」 → 「サイトヘルス」 → 「情報」 → 「サーバー」
「PHP バージョン」が 8.1 以前なら、PHP の開発元の修正がもう出ない版です。見方はPHP2shell の記事にまとめています。
-
5
知らないページが増えていないか
Google の検索窓に「site:自社のアドレス」(例:site:example.jp)
自社のサイトのページだけが並びます。作った覚えのない商品の広告や、外国語のページが出てきたら、勝手にページを足されているかもしれません。
-
6
サーバー会社から知らせが来ていないか
サーバーの契約のメールアドレスの受信箱
不正なプログラムが見つかった、PHP の版を上げてほしい、といった知らせが届いていることがあります。迷惑メールのフォルダも見てください。
6か所が大丈夫でも、安心とは限らない
外から操るための不正なファイルは、サーバーの中に置かれます。管理画面には出てこないので、6か所を見ても見つかりません。ツクリコが調べたサーバーでも、100個以上の不正なファイルは、サーバーの中を調べて初めて見つかりました。
知らない管理者やプラグインを見つけても、その場で消すのは待ってください。消しても、置かれた不正なプログラムから何度も入り直されることがあります。どこから入られたのかを調べてから片付けないと、同じことが繰り返されます。
自分でできる対策は、この順番で
管理画面とサーバーの管理画面に入れるなら、次の順番で進めると、今出ている更新はひととおり当てられます。順番を飛ばさないのが大切です。ただし、すでに入り込まれている場合は、これだけでは片付きません。
-
1
バックアップを取る
サーバーの管理画面のバックアップの設定
何かあったときに元に戻すためです。サーバー会社が自動で取っている場合も、いつの分があるかを確かめてください。
-
2
使わないプラグインとテーマを消す
「プラグイン」 ・ 「外観」→「テーマ」
止めてあるだけでも、サーバーには残っています。古いまま置いておくと、弱点の入口になることがあります。
-
3
プラグイン・テーマ・本体を更新
「ダッシュボード」 → 「更新」
赤い数字が消えるまで当てます。一度にまとめず、1つずつ当てると、何かあったときに原因が分かります。
-
4
PHP の版を上げる
サーバーの管理画面の PHP の設定
WordPress は、PHP 8.3 以上をすすめています。WordPress とプラグインを新しくしてから上げます。設定の場所や名前は、サーバー会社ごとにちがいます。
-
5
管理者のパスワードを変える
「ユーザー」 → 自分の名前 → 「新しいパスワード」
長くて、ほかで使っていないものにします。管理者が何人もいるなら、全員分です。
終わったら、トップと主なページ、
問い合わせフォームが動くか確かめる
ただし、古いサイトほど「更新したら壊れた」が起きやすい
何年も更新していないサイトでは、一気に新しくすると、古いテーマやプラグインが新しい WordPress や PHP に合わず、次のようなことが起きることがあります。
-
真っ白・エラーになる
サイトも管理画面も開けなくなることがあります。
-
見た目が崩れる
プラグイン同士の相性で、画像や並びがずれることがあります。
-
問い合わせが届かない
フォームが動かなくなり、気づかないまま問い合わせを逃すことがあります。
そうなったときに慌てないよう、始める前に2つ確かめてください。1つは、サーバーの管理画面で PHP を前の版に戻せるか。もう1つは、取ったバックアップから元に戻す方法です。WordPress の公式の案内でも、うまく動かないときは、まず PHP の版を戻し、次にバックアップで元に戻す、という順番が示されています。
できれば、本番のサイトでいきなり試さず、サイトの複製で動きを確かめてから本番で行うのが安全です。
不安なら、頼める先に聞く
管理画面に入れない、更新して壊れたら困る、という場合は、頼める先に聞くのが確かです。毎月保守料を払っているかどうかで、聞く相手と聞き方が変わります。
毎月、保守料を払っている
保守の会社に、対応できているかを聞く
〇〇株式会社 ご担当者さま
いつもお世話になっております。WordPress の脆弱性のニュースを拝見し、ご連絡いたしました。
- 弊社のホームページに影響はありますでしょうか。対応がお済みでしたら、その旨を教えてください。
- WordPress・プラグイン・PHP は、今それぞれ最新の版になっていますでしょうか。
- 今後、同じような発表があった際は、対応された内容をご連絡いただけますと助かります。
保守は頼んでいない(作ってもらったきり)
作った会社に、見てもらえるか聞く
〇〇株式会社 ご担当者さま
以前ホームページを作っていただいた〇〇です。保守はお願いしていない状態ですが、WordPress の脆弱性のニュースを拝見し、心配になりご連絡いたしました。
- 弊社のホームページに影響があるか、見ていただくことはできますでしょうか。
- WordPress・プラグイン・PHP が最新の版になっているかも、あわせて教えてください。
- 見ていただくのに費用がかかる場合は、先に金額を教えていただけますでしょうか。
長く更新していないと、見積もりが高くなることがある
保守を頼まないまま何年も更新していないサイトは、WordPress もプラグインも PHP も、まとめて大きく上げることになります。古いテーマやプラグインが新しい版に合わなければ、直したり入れ替えたりする作業も加わります。そのため、思っていたより高い見積もりになることがあります。
見積もりが出たら、何にいくらかかるのか、終わった後の更新は誰がするのかまで聞いておくと、比べやすくなります。
連絡が取れない・ほかの意見も聞きたい
作った会社が廃業していたり、担当者が辞めていたりして、連絡が取れないこともあります。見積もりが妥当か、ほかの会社の意見を聞きたいこともあるはずです。管理画面やサーバーのログイン情報が分からなくても、サイトのアドレスだけで外から分かることもあります。まずは今の状態を知るところから始めてください。
毎回あわてないために決めておくこと
今回のような発表は、これからも続きます。毎回あわてないためには、考え方は大きく2つです。
WordPress を使い続ける
- 更新と見回りを、誰がいつするか決めておく
- 発表が出たらすぐ動ける保守の契約を結ぶ
- 社内で毎日のように記事を書く会社に向く
WordPress も PHP も
使わないサイトに替える
- 見た目とアドレスはそのままで、中の作りだけ替える
- 弱点の発表のたびに、更新に追われない
- 記事の追加や修正は、頼んで反映してもらう形になる
どちらが正解ということはありません。毎日ブログを更新したいなら WordPress が合いますし、会社案内として持っているだけなら、更新に追われない作りの方が合うこともあります。大切なのは、サイトの使い方に合った形を選び、「次に何かあったとき、誰が何をするか」を決めておくことです。
出典
- IPA「WordPressの脆弱性対策について(CVE-2026-60137、CVE-2026-63030：wp2shell)」2026年7月22日
- Google 検索ヘルプ(「このサイトは第三者によってハッキングされている可能性があります」というメッセージ)
- WordPress.org 日本語「PHP のバージョンアップ」
- 東京商工リサーチ TSRデータインサイト「上場企業「個人情報漏えい」、過去最悪ペース」2026年10月7日
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」(漏えい等報告が必要な場合・報告の期限)
- ちゃんとホームページ「PHP の重大な脆弱性「PHP2shell」で何が起きたのか」(10月の PHP の弱点の出典は、こちらの記事の最後にあります)
2026年10月28日時点で公表されている内容をもとに書いています。新しい発表が出たら、そちらを優先してください。