- WordPressで見つかる脆弱性（セキュリティ上の欠陥）は、ほとんどがプラグインです。セキュリティ企業Patchstack社の報告では、2025年に見つかったWordPress関連の脆弱性のうち91%がプラグインでした。
- 調べ方は3段階です。入れているプラグインとバージョンの一覧を作る、脆弱性のデータベースで名前を引く、「影響を受けるバージョン」と「修正されたバージョン」を自社の版と見比べる。
- 修正版があれば更新します。修正版が出ない、WordPress.orgで配布が止まった（閉鎖された）プラグインは、止めて別のものに置き換えます。
- プラグインを更新しても、サーバーのPHP本体の脆弱性（php2shellなど）は直りません。PHPのバージョンは別に確かめます。
なぜプラグインが弱点になりやすいのか
WordPressのサイトは、WordPress本体のほかに、テーマ（見た目）とプラグイン（追加の機能）を組み合わせて動いています。問い合わせフォーム、SEO、予約、会員機能など、プラグインは作者も品質もさまざまで、1つのサイトに十数個入っていることも珍しくありません。
WordPressのセキュリティ企業Patchstack社は、毎年の報告書でWordPress関連の脆弱性の件数をまとめています。2026年2月に公開された「State of WordPress Security In 2026」では、次のように報告しています［Patchstack社の報告書］。
- 2025年に見つかったWordPress関連の新しい脆弱性は11,334件で、2024年より42%多い
- そのうち91%がプラグイン、9%がテーマ。WordPress本体で報告されたのは6件で、優先度の低いものだった
- 46%の脆弱性は、公表の時点で開発者から修正版が出ていなかった
この数字はPatchstack社が自社で集めたデータによるもので、公的機関の統計ではありません。それでも、WordPress本体だけを最新にしていても、プラグインを放っておけば弱点が残るという傾向は読み取れます。また、修正版が出る前に脆弱性が公表されることもあるため、「更新ボタンを押せば必ず直る」とは限りません。
入れているプラグインとバージョンを一覧にする
脆弱性の情報は「どのプラグインの、どのバージョンが危ないか」で書かれています。まず自社のサイトに何が入っているかを一覧にします。
管理画面で見る
WordPressの管理画面で「プラグイン」→「インストール済みプラグイン」を開くと、入っているプラグインの名前とバージョンが並びます。新しいバージョンが出ているものには、更新を知らせる表示が出ます。
有効化していないプラグインも一覧に含めてください。停止中でもファイルはサーバーに残っています。WordPress.orgの手引き（Hardening WordPress）も、使っていないプラグインは削除するよう勧めています［WordPress.org「Hardening WordPress」］。
WP-CLIで見る
サーバーにSSHで入れて、WP-CLI（WordPressをコマンドで操作する公式のツール）が使える場合は、次のコマンドで一覧を出せます。
wp plugin list公式の説明では、標準で次の項目が表示されます［WP-CLI「wp plugin list」］。
| 項目 | 意味 |
|---|---|
| name | プラグインの名前（フォルダ名） |
| status | 有効・無効など |
| update | 更新があるかどうか |
| version | 入っているバージョン |
| update_version | 出ている新しいバージョン |
| auto_update | 自動更新が有効かどうか |
wp plugin list --format=csv のように出力の形式を指定すると、表計算ソフトに貼りやすくなります。複数のサイトを管理している場合は、この一覧を定期的に保存しておくと、あとで「いつ、どのバージョンだったか」を確かめられます。
有料プラグインも忘れずに
テーマやページビルダーなど、WordPress.orgの外で買ったプラグインは、管理画面に更新の通知が出ないことがあります。販売元のサイトやメールの案内で、最新のバージョンを確かめてください。Patchstack社の同じ報告書は、有料・一部有料のプラグインやテーマについての報告が全体の29%を占めたとしています［Patchstack社の報告書］。
脆弱性を調べられるデータベース
一覧ができたら、プラグインの名前で脆弱性のデータベースを引きます。日本語で読めるのはJVNとJVN iPediaで、WordPressに特化した英語のデータベースもあります。
| 名前 | 運営 | 特徴（公式ページの説明より） |
|---|---|---|
| JVN | JPCERT/CC・IPA | 日本で使われているソフトの脆弱性と対策の情報を載せるポータル。2004年7月から共同運営。対象の製品とバージョン、対策（回避策を含む）へのリンクが載る |
| JVN iPedia | IPA | 2007年4月25日から日本語で公開している脆弱性対策情報のデータベース。国内の開発者の情報、JVNの情報、米国NISTのデータベース（NVD）の情報を集めている |
| WPScan | WPScan | WordPress本体・プラグイン・テーマの脆弱性のデータベース。サイトの簡易スキャンを無料で提供。APIは研究者の非商用なら1日25回まで無料。同社のデータを使う無料プラグイン「Jetpack Protect」もある |
| Patchstack Database | Patchstack社 | WordPressなどの脆弱性の一覧。影響を受けるバージョンの範囲、CVSSの点数、公式の修正がないものを確かめられる |
| Wordfence Intelligence | Wordfence | WordPressの脆弱性のデータベース。画面と同じデータを持つAPIを、個人・商用とも無料で使えるとしている |
WordPressの日本製プラグインは、国内の研究者が見つけてJVNに載ることがあります。一方で、海外製のプラグインは英語のデータベースにしか載っていないこともあるため、日本語で見つからなければ英語のデータベースも引いてください。プラグインの名前は、WordPress.orgのURLに使われている英語の名前（wp plugin list の name）で検索すると見つけやすくなります。
WPScanのような簡易スキャンは、自社のサイト、または持ち主の許可を得たサイトだけに使います。WPScanの画面にも「このサイトをスキャンする許可がある」ことを確かめる項目があります。共用のレンタルサーバーで診断用のツールを使う場合の注意は「脆弱性診断とは」にまとめています。
脆弱性の情報の読み方
どのデータベースでも、1件の情報には次のような項目が並びます。表記は違っても、見るところは同じです。
| 項目 | 見るところ |
|---|---|
| 影響を受けるバージョン | 「<= 1.17.9」（1.17.9以下）、「< 4.1.12」（4.1.12未満）のように書かれる。自社のバージョンが範囲に入っているか |
| 修正されたバージョン | ここ以上に更新すれば直る。空欄や「No official patch」なら修正版はまだない |
| 脆弱性の種類 | クロスサイト・スクリプティング（XSS）、権限の確認漏れ（Broken Access Control）など |
| 深刻度（CVSS） | 0〜10の点数。高いほど危ない。ただし点数だけで急ぐかを決めない |
| 攻撃の条件 | ログインせずに狙えるか、管理者の権限が要るか。説明文に書かれていることが多い |
CVSS（脆弱性の深刻度を表す共通の物差し）の点数と、9.0以上が「緊急」といった区分の読み方は「CVSS 9.2ってどれくらい危ない？」で説明しています。同じ点数でも、ログインせずに狙えるものと、管理者のアカウントが要るものでは、急ぐ度合いが違います。
判断に迷ったときは、次の順番で考えてください。
- 自社のバージョンが「影響を受けるバージョン」に入っていなければ、対応は不要
- 入っていて修正版があれば、更新する
- 入っていて修正版がなければ、そのプラグインを止める（無効化する）か、別のプラグインに置き換える
閉鎖された・更新が止まったプラグインの扱い
WordPress.orgの「閉鎖」の表示
WordPress.orgで配布が止まったプラグインのページには、閉鎖されたことを示す表示が出ます。開発者向けの手引きによると、2017年11月からこの表示が出るようになり、2018年1月以降に閉鎖されたものには日付が付きます。閉鎖から60日たつと、理由が表示に加わります［WordPress.org Plugin Handbook「Alerts and Warnings」］。
閉鎖の理由には、作者の申し出、ガイドライン違反、ライセンスや商標の問題、本体への統合、そして「セキュリティの問題」があります。手引きは、閉鎖の詳しい理由はWordPress.orgのセキュリティチームと作者以外には原則として伝えないとしています［WordPress.org Plugin Handbook「Alerts and Warnings」］。理由が分からなくても、閉鎖されたプラグインは新しい版が配られないので、使い続けない前提で考えます。
「最新の3つのメジャーリリースで試験されていない」表示
同じ手引きによると、WordPressの最新の3つのメジャーリリースに対応していないプラグインには、そのことを示す注意書きが出ます［WordPress.org Plugin Handbook「Alerts and Warnings」］。この表示だけで危ないとは言えませんが、作者が手入れを続けていない目安になります。
置き換えの手順
- そのプラグインが何をしているかを書き出す（フォーム、SEOの設定、ショートコードなど）
- 同じ機能を持ち、更新が続いているプラグインを選ぶ
- 検証環境で入れ替え、表示や送信を確かめる
- 本番で入れ替え、古いプラグインは無効化したうえで削除する
機能が少なければ、プラグインを使わずにテーマや本体の機能で足りることもあります。
更新の運用：自動更新・バックアップ・検証環境
プラグインの自動更新
WordPress 5.5（2020年8月）から、プラグインとテーマを1つずつ選んで自動更新できるようになりました［WordPress.org News「WordPress 5.5」］。「インストール済みプラグイン」の画面で、プラグインごとに「自動更新を有効化」を押すか、一括操作でまとめて切り替えます。公式の説明では、自動更新は標準で1日2回動き、成功・失敗のどちらでもメールで知らせが届きます［WordPress.org「Plugin and themes auto-updates」］。
自動更新にすれば、修正版が出たあと放っておく時間は短くなります。一方で、更新でサイトの表示がおかしくなることもあります。同じ公式の説明も、自動更新を有効にする前に、前の状態に戻せるようにしておく（定期的にバックアップを取る）よう勧めています［WordPress.org「Plugin and themes auto-updates」］。
どれを自動更新にするか
| プラグインの種類 | 考え方の例 |
|---|---|
| 小さな機能のもの、表示に関わらないもの | 自動更新にしてもよい |
| フォーム、EC、会員、予約など売上や問い合わせに直結するもの | 検証環境で試してから手動で更新する。脆弱性の修正版が出たら日をおかずに試す |
| 有料プラグイン | 販売元のライセンスが切れると更新が届かない。契約の期限も確かめる |
どれを自動にするかはサイトの事情で変わります。大事なのは、手動にしたプラグインについて「誰が、いつ確かめるか」を決めておくことです。保守を外部に任せている場合の役割分担は「WordPressの保守、PHPの更新は誰の仕事？」で整理しています。
更新する前に：バックアップと検証環境
- バックアップ：ファイルとデータベースの両方を取ります。レンタルサーバーの自動バックアップがあれば、何日分が残っていて、どう戻すかを確かめておきます
- 検証環境：本番のコピー（ステージング）で先に更新し、トップページ、フォームの送信、管理画面のログインを確かめます。レンタルサーバーによっては、管理画面からコピーを作れる機能があります
- 更新の順番：一度に全部更新せず、重要なものから1つずつ更新すると、表示が崩れたときに原因を絞れます
更新のあとに「重大なエラーが発生しました」と出たり、画面が真っ白になったりしたときの戻し方は、「WordPressのPHPバージョンを上げる手順」の後半でまとめています。PHPの切り替えの記事ですが、プラグインが原因で表示されなくなったときも、同じ手順で原因を調べられます。
プラグインを更新しても、PHP本体は直らない
2026年10月に修正版が出たphp2shell（CVE-2026-109618 / CVE-2026-109619）は、WordPressのプラグインではなく、サーバーで動くPHPそのものの脆弱性です。プラグインやWordPress本体をどれだけ新しくしても、PHPが古いままなら問題は残ります。
反対に、PHPを最新にしても、プラグインに脆弱性があればその問題は残ります。プラグインの一覧を作るときに、サーバーのPHPのバージョンも一緒に書き留めておくと、両方を同じタイミングで確かめられます。php2shellの概要と対応は「php2shellとは」をご覧ください。
チェックリスト
| 確かめること | 済 |
|---|---|
| 入れているプラグインの名前とバージョンを一覧にした（停止中のもの、有料のものも含む） | □ |
| 使っていないプラグインを削除した | □ |
| 各プラグインをJVN iPediaと、英語のデータベース（WPScan・Patchstack・Wordfenceのどれか）で調べた | □ |
| 自社のバージョンが「影響を受けるバージョン」に入っていないか見比べた | □ |
| 修正版がないもの、WordPress.orgで閉鎖されたものを止めるか置き換える段取りを決めた | □ |
| 自動更新にするプラグインと、手動にするプラグインを分けた | □ |
| 手動のプラグインを誰がいつ確かめるかを決めた | □ |
| 更新の前にバックアップを取り、戻し方を確かめた | □ |
| 検証環境で更新を試せるようにした | □ |
| サーバーのPHPのバージョンも確かめた | □ |
よくある質問
どのくらいの頻度で調べればよいですか？
決まった頻度の公的な基準は見つけられませんでした。管理画面の更新の通知は毎回確かめ、データベースでの確認は月に1回など、サイトの重要度に合わせて決めてください。WordfenceのAPIやWebhookのように、新しい脆弱性を自動で知らせてくれる仕組みを使う方法もあります。
セキュリティのプラグインを入れれば、調べなくてよいですか？
Jetpack ProtectやWordfenceのように、入っているプラグインの脆弱性を知らせる機能を持つものもあります。ただし、知らせが来たあとに更新や置き換えをするのはサイトの管理者です。セキュリティのプラグインもプラグインの1つなので、更新を続ける必要があります。
修正版が出ていない脆弱性が見つかったら？
そのプラグインを無効化できるなら、修正版が出るまで止めるのが確実です。止められない場合は、代わりのプラグインを探すか、WAF（不正な通信を止める仕組み）で影響を減らす方法を検討します。WAFは脆弱性の原因そのものはなくさないので、修正版が出たら更新します。
データベースに載っていなければ、安全ですか？
安全とは言い切れません。データベースに載るのは、誰かが見つけて報告した脆弱性だけです。自社向けに作ったプラグインやテーマの改造部分は、どのデータベースにも載りません。そうした部分は、脆弱性診断で調べることになります。
入っているプラグインとバージョンの洗い出し、脆弱性の有無の確認、閉鎖されたプラグインの置き換え、PHPのバージョンの確認まで、まとめてお受けします。WordPressやPHPで動くサイトの脆弱性診断も行っています。無料相談はこちら
参考にした情報
- Patchstack「State of WordPress Security In 2026」（2026年2月25日更新）
- WP-CLI「wp plugin list」
- WordPress.org「Plugin and themes auto-updates」 / WordPress.org News「WordPress 5.5 “Eckstine”」
- WordPress.org Plugin Handbook「Alerts and Warnings」
- WordPress.org「Hardening WordPress」
- JVN「JVNとは」 / IPA「脆弱性対策情報データベースJVN iPediaの登録状況」
- WPScan / Patchstack Database / Wordfence Intelligence「WordPress Vulnerability Database」
