【2026年10月】WordPressの脆弱性報告が増加！プラグイン更新を放置しないために

最近、WordPressのプラグインに関するセキュリティ情報が、本当に多くなったと感じませんか？

ホームページの保守をしていると、「また脆弱性が見つかったの？」「今度はこのプラグインも？」と思うほど、更新や注意喚起の情報が続いています。

実際、WordPress関連の脆弱性報告は、ここ数年で大幅に増えています。数字で現状を確認しながら、企業のホームページでどのような管理が必要なのかを考えてみましょう。

WordPressの脆弱性報告、どれほど増えている？

WordPress向けのセキュリティサービスを提供するPatchstackの年次レポートによると、WordPress本体・プラグイン・テーマを含む脆弱性の報告件数は、次のようになっています。

さらに、2025年に確認された脆弱性の約91％はプラグインに関するものでした。WordPress本体を更新するだけでなく、導入しているプラグインの管理が重要だと分かります。

2026年も、週に数百件の報告がある

2026年に入ってからも、多数の脆弱性情報が公開されています。次のグラフは、Wordfenceが公開している週次レポートから、時期の異なる6週間を抜き出したものです。

例えば、10月5日〜11日の週には655件の脆弱性が報告されました。そのうち270件がHighまたはCriticalに分類されています（High 249件、Critical 21件）。すべてが直ちに攻撃されるわけではありませんが、見過ごせない数です。

なぜ、これほど報告が増えているの？

報告件数が増えたからといって、WordPressが突然危険になったと断定することはできません。セキュリティ研究者の調査やバグ報奨金制度、調査技術の進歩によって、これまで表面化していなかった問題が見つかるようになった側面もあります。

一方、脆弱性が公開されることで、攻撃を試みる側にも情報が届きます。すでに攻撃が確認されている問題や、ログイン不要で悪用できる深刻な問題では、特に迅速な対応が必要です。

更新を放置すると、どんなことが起こる？

プラグインは、問い合わせフォーム、SEO、バックアップ、画像表示などを実現する便利な仕組みです。しかし、古いバージョンに脆弱性が残っていると、状況によっては次のような被害につながります。

• ホームページの文章や表示内容が勝手に書き換えられる
• 訪問者が無関係なサイトに転送される
• 不審なファイルやプログラムを設置される
• 管理者アカウントを乗っ取られる
• 問い合わせ情報などを外部に読み取られる

もちろん、すべての脆弱性でこうした被害が起きるわけではありません。特定のユーザー権限や設定が必要なものもあります。大切なのは、自分のサイトで使っている製品と、危険性の高い問題を把握することです。

WordPressの更新、普段からここを確認しましょう

最も避けたいのは、更新通知を何か月も放置してしまうこと。普段の運用では、次の5つを基本にするのがおすすめです。

1. 管理画面の「ダッシュボード → 更新」を定期的に確認する

   WordPress本体、プラグイン、テーマの更新状況を確認します。セキュリティ修正のある更新は特に優先しましょう。

2. 自動更新を、サイトに合わせて活用する

   更新忘れを減らすのに有効です。ただし、フォームや決済など重要な機能では、互換性や更新後の確認方法も決めておきます。

3. ファイルとデータベースのバックアップを取る

   更新で不具合が起きた場合に備え、復元できる状態を用意します。バックアップを取るだけでなく、復元方法も確認しておくと安心です。

4. 使っていないプラグイン・テーマを整理する

   無効化しているだけで残ったファイルにも、管理上のリスクが生じる場合があります。不要なものは削除し、必要なものだけを使いましょう。

5. 更新後に表示や問い合わせフォームを確認する

   トップページだけでなく、問い合わせフォームの送信や重要なページの表示など、仕事に関わる機能をチェックしましょう。

更新だけで万全、というわけではありません

脆弱性が公表されても、修正版がまだ公開されていない場合があります。また、すでにサイトが改ざんされている場合は、更新だけで不正なファイルが消えるとは限りません。

そのため、日頃の更新に加え、ログイン対策、必要に応じたWAFの活用、バックアップ、セキュリティ情報の確認など、複数の対策を組み合わせることが大切です。

ホームページは「作って終わり」ではありません

公開から数年間、問題なく表示されているホームページでも、内部のプログラムは古くなっていきます。

必要な更新を放置しないことは、ホームページと、その先にいるお客様を守るための基本的な管理です。難しいことをすべて覚える必要はありません。まずは更新状況を確認するところから始めてみましょう。