WordPressへの移行更新日
#WordPressのセキュリティ対策は何から始めればいいですか？
最初に確認したいのは、WordPress本体とテーマ、利用しているプラグインを最新の状態に保つ運用です。古いバージョンを放置していると、すでに公表されているプログラムの不具合を狙われてしまいます。手動での更新作業に追われるのを避けるには、標準で用意されている自動更新機能の活用が役立ちます。
更新の次は、管理者アカウントの守りです。推測されにくいパスワードに加えて、二段階認証を設定します。ログインのたびに確認コードを入れる手間は増えますが、パスワードが漏れたときに、それだけで入られる心配はかなり減ります。
さらに、外部からの通信を監視して不正なリクエストを遮断するWAFの導入や、不測の事態に備えたデータの定期バックアップも欠かせない対策です。攻撃でデータが消えたり書き換えられたりしても、残しておいたバックアップがあれば元の状態に戻せます。
もうひとつ、Studioとの違いで気をつけたいのが、誰がどこまで面倒を見るかです。Studioでは基盤の更新を提供元が受け持っていましたが、WordPressではホスティング会社の責任がどこで終わり、どこから運営者の仕事になるのかを、契約前に確かめる必要があります。サーバー側の更新とプラグインの更新で担当が分かれる場合もあるので、移行の打ち合わせで聞いておきましょう。ここまでの対策を済ませても、リスクは下がるだけで、ゼロにはなりません。
#2026年10月に公表されたPHPの重大な脆弱性はWordPressサイトに影響しますか？
移行作業の途中で「PHPに重大な脆弱性」というニュースを見て、WordPress側で何をすればいいのか迷った人もいるでしょう。2026年10月21日に公表されたPHPの重大な不具合は、WordPressで構築されたサイトにも影響を及ぼす可能性があります。今回の問題はWordPressのプログラム自体に欠陥があったわけではなく、サーバー上でウェブリクエストを処理しているPHPの仕組みに潜んでいたものです。
公表された2件の脆弱性（CVE-2026-109618とCVE-2026-109619）は、どちらもCVSS v4.0で9.2と評価されています（PHP公式の告知）。悪用された場合、認証を経ていない外部の第三者から遠隔で任意のコードを実行される危険性があります。修正版はPHP 8.5.12、8.4.27、8.3.36、8.2.35です（WordPress日本語版のお知らせ）。いま使っている系統の修正版か、それ以降へ上げてください。
現在サイトが動いているPHPの版数は、WordPress管理画面の「ツール」から「サイトヘルス」を選び、「情報」タブ内の「サーバー」項目を開くと確かめられます。もし修正版より前の版数が表示されているなら、契約中のサーバー会社が提供する管理画面で最新の修正版へ切り替える必要があります。ホスティング会社を使っている場合は、修正済みのPHPがもう提供されているかも問い合わせておきます。
この問題に対処するにあたって、WordPress本体の更新は不要であり、WordPress側からの修正リリースも予定されていません。ふだんの本体の更新が要らなくなるわけではない点は、分けて考えてください。
#WordPressの脆弱性のうちプラグイン由来はどれくらいの割合ですか？
WordPressで見つかる脆弱性は、プラグインのものが大半です。プラグインを新しく追加する際は、本当にその機能が自社サイトに必要なのかを社内で吟味する姿勢が大切になります。
やることは2つです。ひとつは、使っているプラグインをいつも最新の版にしておくこと。WordPress 5.5以降では、管理者がプラグインごと、テーマごとに自動更新を有効にできます。ただし、初めから全部が自動更新になっているわけではなく、ホスティング会社や別のプラグインがこの機能を止めている場合もあります。一覧画面で、1本ずつ設定を見ておきましょう。
もうひとつは、使っていないプラグインを削除することです。無効化してサイト上で動かない状態にしておくだけでは、サーバー上にファイルが残り続けるため、外部から脆弱性を突かれる危険性が残ります。使わなくなったプラグインは、無効化にとどめずシステム上から完全に削除する運用を徹底してください。
#WordPressにWAFを設定するにはどうしますか？
サーバーを契約して管理画面を開くと、WAFという項目が目に入ります。WAFは、サイトに届く通信を検査して、攻撃らしいものを止める仕組みです。WordPressで使う方法は3通りあり、サーバー側で有効にする方法、Cloudflareのようなサービスを通信の途中に置く方法、Wordfenceのようなプラグインを入れる方法から選びます。
最も手軽な選択肢となるのが、ホスティングサーバー側で提供されているWAF機能の有効化です。たとえばエックスサーバーのWAF設定マニュアルを見ると、サーバーパネルの画面上から必要な項目を選択して設定を反映させられます。設定してすぐ効かなくても、しばらく待ってから確かめてください。
Cloudflareを使う場合は、アカウントを作ってドメインを追加するところから始めます。無料プランでも、管理ルールの一部にあたるCloudflare Free Managed Rulesetが最初から適用されますが、有料プランの機能まで使えるわけではありません。
Wordfenceは、初めて入れたあと1週間は学習モードで動き、その間はファイアウォールの守りが完全ではありません。表示がEnabled and Protectingに変われば、既知の攻撃を止める状態です。最適化の設定をすると、WordPressより先にファイアウォールが読み込まれるようになります。
WAFを導入する際に知っておきたいのは、正当な利用者の操作を誤って攻撃と判定してしまう誤検知の存在です。問い合わせフォームが送れなくなったときも、WAFを丸ごと切るのではなく、該当するルールだけを調整します。WAFを入れても、本体やプラグインの更新はこれまでどおり必要です。
#WordPressの管理者権限は社内の誰に持たせるべきですか？
「サイトを更新する担当者全員に管理者権限を配ってしまってよいのだろうか」という迷いは、複数人でサイトを運用し始めた企業でよく耳にする悩みですね。ただ、管理者は人数をしぼり、ふだんの作業には必要な分だけの権限を使うのが基本です。
管理者は、プラグインやテーマの追加、ユーザーの管理までできます（ユーザー権限の公式説明）。複数のサイトをまとめるマルチサイトの場合は、インストールや更新などの一部の操作を特権管理者だけが行えます。
記事を書いて公開する人には、標準の「編集者」か「投稿者」を割り当てましょう。編集者は、自分と他の人の投稿や固定ページを公開・編集できます。投稿者は自分の投稿だけを公開・編集でき、固定ページや他の人の投稿には手を出せません。お知らせを書く担当なら投稿者、サイト全体の文章を直す担当なら編集者、という分け方になりますね。全員に管理者権限を渡してしまうと、誤った操作でサイト全体が動かなくなったり、誰かのアカウント情報が漏洩した際にサイトを乗っ取られたりする危険性が高まります。プラグインで権限を書き換えている場合は、実際にできることを画面で確かめます。
さらに、従業員が部署異動や退職をした際に、不要になった管理アカウントを速やかに停止または削除する社内ルールを決めておくことが大切です。また、ログイン画面の/wp-login.phpに入れるIPアドレスを絞る方法もあります。ただし、環境によっては外部サービスとの連携が動かなくなるため、本番に入れる前に試し、必要な例外を確かめてから設定します。
こんな聞き方も
- WordPress セキュリティ 対策 2026
- ワードプレス セキュリティ 対策
- wordpress セキュリティ 何から 始める
- wordpress セキュリティ 対策 中小企業
- wordpress 脆弱性 2026
- php 脆弱性 2026年10月 wordpress
- wordpress プラグイン 脆弱性 割合
- wordpress セキュリティ プラグイン おすすめ
- wordpress waf 設定
- cloudflare wordpress waf 無料
- wordpress ログイン ip 制限
- wordpress 2段階認証 設定
- wordpress 改ざん 確認 方法
- wordpress 改ざん 検知 通知
- wordpress マルウェア スキャン 無料
- wordpress ユーザー 権限 編集者
- wordpress 保守 契約 必要
- wordpress security checklist 2026
あわせて知りたい（関連する疑問）
QWordPressが改ざんされていないか確認するにはどうしますか？
ブラウザでサイトを開いていつもどおりに見えても、改ざんされていないとは言い切れません。表には出ない形で書き換えられることがあるので、画面の見た目とは別に、サーバーの中も見ていきます。
まず簡単にできるのが、WordPressの管理画面で「ユーザー」一覧を開き、身に覚えのない管理者アカウントが勝手に作られていないかを調べる方法です。権限のないユーザーが勝手に追加されている現象は、不正侵入を受けた典型的な兆候のひとつといえます。ただし、見慣れない名前というだけで消さず、誰がいつ作ったものかを社内や制作会社に確かめましょう。
ファイルの点検では、WordPress本体のファイルを同じ版の正規のファイルと比べて、書き換えや見知らぬファイルの追加を探します。プラグインやテーマのファイルも対象です。Wordfenceなら、スキャンを予約して結果をメールで受け取れます。差分が出ても、開発元が配布ファイルを差し替えただけということもあるので、削除や修復の前に何が違うのかを見てください。
公開側の異変にも気を配ります。また、普段のブラウザ操作では普通に開けても、検索エンジンの検索結果から訪れたときだけ別の不審な広告ページへ転送される手口も存在します。直接URLを打つと普通に見えるので、気づきにくい手口です。
ただし、外部からウェブページを眺めるだけの遠隔スキャンでは、サーバー内部に潜む悪意あるファイルを検出できない場合があります。何も検出されなくても、サーバー側のスキャンと組み合わせましょう。
それでも改ざんが疑わしいときは、ホスティング会社にも状況を伝えます（サイトが乗っ取られたときのFAQ）。直す作業の前に、感染したままの状態でもサイトとデータベースのバックアップを取っておきます。このバックアップは記録用で、復元に使う元データとは分けておきます。
Q中小企業ならどこまで対策すれば十分ですか？
これだけやれば十分、という線はありません。それでも、どの会社でも外せない対策は決まっていて、本体・テーマ・プラグインの更新を続けること、ログインに二段階認証を使うこと、定期的にバックアップを取ることの3つです。
更新は、既知の脆弱性をふさぐいちばん基本的な手当てです。自動更新を使えば手間はかなり減りますが、自動にしたからといって、更新が止まっていないかを見なくてよくなるわけではありません。また、管理画面へのログイン時に強力なパスワードと二段階認証を組み合わせる設定も、不正アクセスを退ける強力な防壁になります。
バックアップは、IPAの中小企業向けの基本対策にも入っています。
ここから先をどこまで広げるかは、サイトの使い方で変わります。問い合わせフォームや会員ページがあって攻撃を受けやすいなら、WAFを足しましょう。WordPressが処理する前に通信を検査する仕組みなので、更新が間に合わない間の守りにもなります。
どの順番で何をそろえるかに迷うなら、IPAの中小企業向けガイドラインが手がかりになります。経営者が知っておきたいことと、実務の担当者が進める対策の手順が分けて書かれていて、段階を追って取り組めます。
QWordPress.comとWordPress.orgはどう違いますか？
名前は似ていても、使い方はかなり違います。WordPress.orgは、WordPressというソフトウェアを手に入れるための公式サイトです。ここから入手したソフトを自分で選んだサーバーに入れて使う形で、セルフホスト型とも呼ばれます。
これに対してWordPress.comは、同じWordPressのソフトウェアをベースにしながら、サーバーの用意や保守管理までを一括して提供するマネージドホスティングサービスです。ソフトウェアの更新作業やサーバー監視、セキュリティ対策、データのバックアップといった技術的な管理業務の多くをサービス側に任せられる点が大きな特徴となっています。ただし、使えるセキュリティ機能はプランによって変わります。
一方、WordPress.orgのソフトを自分のサーバーに入れる場合、どこまで任せられるかは選んだホスティング会社と契約しだいです。すべてを自力でやるとは限らず、事業者が受け持ってくれる部分もあります。サーバーを選ぶときは、ウェブサーバーやデータベース、PHPを安全な版に保ってくれるか、バックアップを取ってくれるか、何かあったとき復元を手伝ってくれるかを聞いておきます。
Studioの手軽さに慣れていると、保守を任せられるWordPress.comのほうが近い感覚かもしれません。プラグインを自由に入れたい、サーバーの設定まで自分たちで決めたいなら、セルフホスト型を選ぶことになります。
QWordPressの世界シェアはどれくらいですか？
WordPressがどれくらい使われているかは、W3TechsのCMSシェア統計で確かめられます。数字は調べ方によって変わります。
これだけ広く使われていると、攻撃する側にとっても狙う価値が高くなります。ただし、製品そのものが特別に危ないという話とは分けて考えたほうがいいでしょう。シェアが高いからといって、自分のサイトが乗っ取られる確率まで決まるわけではありません。
広く使われていることには、プラグインの多さという面もあります。機能を足すプラグインは何千とあり、Studioではできなかった機能を足しやすいのはWordPressの強みです。ただ、前の項で触れたとおり、新しく見つかる脆弱性の多くはプラグインにあります。便利さと守る手間は表裏一体ですね。そのため、WordPress本体やプラグイン、テーマを常に最新版に保つという基本的な防犯手順を怠らないことが、何よりも重要視されています。
QWordPressを使わずにセキュリティを高める方法はありますか？
動的にページを生成するWordPressを運用する代わりに、あらかじめ生成した静的なHTMLファイルを配信する構成を選べば、サーバー攻撃のリスクを大きく抑える手段となります。通常のWordPressサイトでは、訪問者がアクセスするたびにサーバー上のPHPが動き、データベースへ問い合わせを行ってページを組み立てる仕組みです。この動的な処理の仕組みそのものが、外部からの攻撃に狙われる隙を生み出してしまいます。
あらかじめ静的なファイルを書き出して配信する仕組みをとれば、公開サーバー上にデータベースや管理画面が存在しない状態を作れます。公開側で動的なプログラムが走らないため、コード実行の脆弱性やデータベースへの不正侵入を狙う攻撃の対象を根本から減らせるわけです。
ただし、静的配信の仕組みを取り入れるには、記事の更新頻度や公開までに要するビルド時間、問い合わせフォームなどの動的機能がどれだけ必要かを見極める必要があります。たとえばmicroCMSのようなヘッドレスCMSを導入する場合でも、表示側の配信環境やビルド用のサーバーを別途用意する設計が必要になり、一定の専門知識が求められます。どんなサーバーが要るかはつくり方で変わるので、実装を頼む人に確かめておきましょう。公開側にサーバーで動く機能を足していくと、守る範囲が減るという利点は小さくなります。WordPressを使わないことが、そのまま安全を意味するわけではありません。
ところで、Studioに残るという選択肢もあります。Studioは公開サイトの通信をSSL/TLSで暗号化し、使っている基盤に脆弱性が見つかれば提供元が更新します。導入を判断するためのStudioのセキュリティ対策の説明と、チェックシートも公開されています。これは提供元の対策の説明で、事故が起きないことまでは約束していません。
この内容をChatGPTで相談
