① なぜ WordPress は狙われるのか
WordPress が狙われる主な理由は 3 つあります:
- 普及率が高く、攻撃効率が良い:1 つの脆弱性で数百万サイトを狙えるため、攻撃者が集中的に狙う
- プラグイン・テーマが乱立:公式コアだけでなく、サードパーティ製の品質にばらつきがある
- 管理が属人化しがち:中小企業では「作ったきり放置」になりやすく、アップデートが止まる
WordPress コア本体は、オープンソースコミュニティが素早く脆弱性修正を行っています。問題の多くは、プラグイン・テーマ・運用の杜撰さに由来します。
② よくある脆弱性と被害シナリオ
人気プラグインに脆弱性が発見されても、更新を怠るとそのまま穴になります。攻撃者が任意のコードを実行し、サイト全体を乗っ取れる場合も。
/wp-admin/ や /wp-login.php への総当たりで、簡単なパスワードがクラックされます。管理者 ID が「admin」のまま使っているケースは特に危険。
侵入されたサイトに、SEO スパムの隠しリンク・マルウェア配布コード・フィッシングサイトへのリダイレクトなどが仕込まれます。Google から「有害サイト」と判定され、検索結果に警告表示が出ることも。
問い合わせフォームの入力情報(名前・メール・内容)、会員情報などがデータベースから流出。個人情報保護法違反になり、顧客対応・報告義務が発生します。
③ 2026 年の 10 のベストプラクティス
自動更新を有効化。ただし、本番環境を直接自動更新するのではなく、ステージング環境でテスト→本番適用の流れを組む。
無効化だけでは、ファイルが残っていると脆弱性のターゲットになる。「とりあえず入れた」プラグインを定期的に棚卸し。
デフォルトの「admin」や会社名の推測しやすい ID は、ブルートフォースの第一ターゲット。英数字 10 文字以上の推測されにくい ID に。
パスワードだけでは不十分。2026 年現在、2FA を使っていないサイトは危機意識が足りないとみなされます。
プラグインで管理画面 URL を変更。社内 IP のみアクセス可能にするとさらに安全。
Cloudflare、Sucuri 等の WAF サービスで、既知の攻撃パターンをブロック。無料プランでも十分効果あり。
改ざん・乗っ取り時にリストアできる状態を維持。「毎日自動バックアップ、7 日分保存」が目安。
古い PHP(7.x 以下)はセキュリティ更新が終了。サーバの PHP バージョンも計画的に上げる。
管理画面にログインしていない時でも、改ざん・異常を検知する監視サービス(Wordfence、Jetpack Scan 等)を導入。異常時に即通知。
「誰が月 1 回のアップデートを担当するか」「障害時の連絡先」を明文化。制作会社と保守契約を結ぶか、社内で担当を立てる。
④ 「WordPress を使うべきか」の判断
以上の 10 項目をすべて実行する体制があるなら、WordPress は強力で柔軟な CMSです。コンテンツ更新のしやすさ、プラグインの豊富さ、デザインテーマの選択肢は他に匹敵するものがありません。
しかし、以下に当てはまる場合は別の構成を検討する価値があります:
- 社内に IT 担当者がおらず、保守運用を外注する余力がない
- コンテンツ更新が月 1 回未満で、動的機能も特にいらない
- サイトのセキュリティ事故で、業界的な信頼損失が大きい(金融・医療等)
⑤ 代替としての Headless CMS ・静的サイト構成
WordPress の代わりに検討できる現代的な構成を 3 つ紹介します。
A. 完全静的サイト(Astro + Cloudflare Pages)
HTML/CSS/JS だけのサイト。そもそもデータベースも PHP もないので、WordPress 系の攻撃は完全に無効。コーポレートサイト・LP に最適。コンテンツ更新は Git ベースで。詳しくは Cloudflare Pages の活用方法 を参照。
B. Headless CMS +静的サイト
microCMS、Contentful、Sanity 等の Headless CMS で記事を管理し、Astro ・ Next.js でビルド。管理画面はクラウドの CMS、公開サイトは静的なので、改ざんリスクが大幅に減ります。
C. Managed WordPress(WordPress.com、Kinsta 等)
セキュリティ・バックアップ・パフォーマンス最適化を全部プラットフォーム側がやってくれる、マネージド WordPress。月額 5,000〜 20,000 円程度と有料だが、保守の心配なし。
既存の WordPress サイトを別構成に移行するには、デザイン再構築・コンテンツ移行・SEO 的な URL マッピング等、相応の作業が必要です。移行の判断は、「今の WordPress 保守にどれだけコストと神経を使っているか」とセットで考えてください。
まとめ
WordPress は適切に運用すれば、2026 年現在でも十分使える CMSです。しかし、「適切な運用」は想像以上に手間がかかります。
保守運用に自信がない企業は、思い切って静的サイト構成に移行することも検討する価値があります。「セキュリティで悩む時間を減らし、本業のコンテンツ作りに集中する」ことができれば、長期的にはプラスになります。
合同会社 SKY は、WordPress のセキュリティ診断・保守運用、または静的サイト構成への移行までご相談いただけます。「うちのサイトは今、本当に大丈夫?」のご不安にお応えします。