WordPressの脆弱性が2026年に急増——中小企業のホームページが今すぐ知るべきこと
公開日
最終更新
「WordPressって、放っておくと危ないの？」——最近そんなご相談が増えました。それもそのはずで、2026年はWordPressのセキュリティ更新が異例のペースで続いています。本記事では、いま何が起きているのかを中小企業のホームページ担当者向けにかみ砕いて解説します。読み終えるころには、「なぜ今アップデートの話がこんなに騒がしいのか」「自社サイトは大丈夫なのか」の判断軸が持てるはずです。対処の具体策は最後にふれますが、正直なところ“当て方”こそが一番の勘所です。
WordPressの脆弱性とは
脆弱性とは、ソフトウェアの設計や作りに残ってしまった「攻撃者に悪用され得る穴」のことです。WordPressは世界のWebサイトのおよそ4割で使われているため、穴が1つ見つかると、世界中の同じバージョンのサイトが一斉に狙われます。攻撃はほぼ自動化されており、「うちみたいな小さな会社は狙われない」は通用しません。狙っているのは人ではなくプログラムで、対象は「古いまま放置されたサイト」すべてだからです。
2026年、WordPressで何が起きているのか
セキュリティ企業Patchstackの年次レポートによると、WordPressエコシステム全体で見つかった新規の脆弱性は2025年だけで11,334件。前年から42%増で、しかも「悪用されやすい」と判定された危険度の高いものは前年比113%増と、過去最悪クラスの1年でした。数字で並べると深刻さが伝わります。
| 指標（2025→2026年） | 数字 | 意味 |
|---|---|---|
| 新規脆弱性（年間） | 11,334件（+42%） | 過去最多ペース |
| 高深刻度の脆弱性 | 1,966件（全体の17%） | 過去2年の合計を上回る |
| 発生元の内訳 | プラグイン91% / テーマ9% / 本体ごくわずか | “穴”の大半はプラグイン |
| 修正が間に合わず公開 | 約46% | パッチ前に手口が公になる |
| プラグイン脆弱性の開示ペース | 週250件超 | 43%は認証不要で悪用可 |
本体（コア）でも重大な更新が連発
「プラグインが9割なら本体は安心」とはいきませんでした。2026年はWordPress本体でも立て続けにセキュリティリリースが出ています。
- 7.0.2（7月）：REST APIの一括処理の入口を突く重大なリモートコード実行（CVE-2026-63030）を修正。ログインしていない攻撃者がサイトを乗っ取れる恐れがあり、6.9.0〜6.9.4と7.0.0〜7.0.1が対象でした。
- 7.0.3（8月6日）：12件の脆弱性を一挙に修正。ログイン前に成立するクロスサイトスクリプティング、権限昇格、情報漏えい、SSRFなど種類も多彩でした。
- 7.0.4（8月）：画像処理（Imagick／Ghostscript）を悪用する認証済みのコード実行を修正。
「リモートコード実行（RCE）」は、平たく言えば他人があなたのサーバー上で好き勝手にプログラムを動かせてしまう状態です。数ある脆弱性の中でも最悪の部類で、こうした穴には運営元が強制的な自動更新を走らせることもあります。それだけ危険だという裏返しです。
なぜ中小企業のホームページほど危ないのか
大企業には専任の担当者がいて、更新も監視も回っています。一方で中小企業のサイトは「作って以来ほとんど触っていない」ケースが少なくありません。攻撃側から見れば、これは絶好の的です。前述のとおり攻撃は自動化されており、規模ではなく「古いかどうか」だけで無差別に狙われます。さらに、脆弱性の約46%は修正が間に合う前に手口が公開されるため、「気づいてから直す」では後手に回りがちです。
放置するとどうなるのか
- サイト改ざん：見覚えのない広告や海外語のページが勝手に増える
- 情報漏えい：問い合わせフォームや会員情報が抜かれる
- 踏み台化：自社サイトが他所を攻撃する“加害者”に仕立てられる
- SEOスパム：検索結果に不正リンクをばら撒かれ、Googleに危険サイト判定される
- 信用の失墜：復旧できても「あそこは一度乗っ取られた」という印象は残る
実際に多くの企業サイトをお預かりしている立場から見ても、今年の更新頻度は明らかに異常で、影響範囲の洗い出しに追われた場面が何度もありました。もはや「たまに気が向いたら更新」で守り切れる年ではありません。
今できる対策の基本ステップ
最低限おさえるべき考え方を順に挙げます。細かな“当て方”には各社のノウハウがありますが、土台はこの5つです。
- 本体・プラグイン・PHPを最新に保つ。特に本体のセキュリティリリースは最優先。
- いきなり本番に当てない。更新でサイトが壊れることは珍しくないため、影響を見極めてから反映する。
- 使っていないプラグイン・テーマは削除する。“穴”の9割はプラグイン。数を減らすほどリスクは下がる。
- バックアップを確保する。万一のとき「戻せる」状態がすべての前提になる。
- 毎日ニュースを見て、自社に関係するかを判断する。脆弱性は日々公開される。誰が見て、誰が判断するかを決めておく。
——と、ここまでは“教科書”の話です。実際に難しいのは、「どのサイトの、どのプラグインを、いつ、どの順番で、壊さずに当てるか」という運用の部分。数十サイトを預かっていれば、当て方を一歩間違えるだけで表示が崩れたり決済が止まったりします。ここは正直、経験とちょっとした“社内の仕組み”がものを言う領域で、私たちも手の内はあまり公開していません。もし自社サイトの状況が不安なら、まずは「今どのバージョンで、何が古いのか」を棚卸しするところから始めるのがおすすめです。
よくある質問
Q. 小さな会社のサイトでも本当に狙われますか？
A. はい。攻撃はプログラムによる自動巡回が中心で、企業規模は関係ありません。「古いまま放置されているか」だけで無差別に狙われます。
Q. 自動更新をオンにしておけば安心ですか？
A. 重大な脆弱性では運営元が強制更新を走らせることもあり、有効な備えです。ただし自動更新でレイアウトや機能が壊れる例もあるため、「入れっぱなしで完全放置」は別のリスクを生みます。
Q. プラグインが危ないなら、減らせばよいのですか？
A. 基本的にはその通りです。脆弱性の約9割はプラグイン由来なので、使っていないものを削除するだけでもリスクは確実に下がります。
Q. うちのサイトが今どれくらい危ないか、どう確認すればいいですか？
A. まずはWordPress本体・プラグイン・PHPのバージョンを一覧化し、「サポートが切れていないか」「既知の脆弱性が出ていないか」を突き合わせます。ここが対策のスタート地点です。
Q. 「リモートコード実行（RCE）」とは何ですか？
A. 攻撃者があなたのサーバー上で任意のプログラムを実行できてしまう状態を指します。サイトの完全な乗っ取りにつながる、最も危険な種類の脆弱性です。
Q. バージョンが古いと、具体的に何が困りますか？
A. 公開済みの攻撃手口がそのまま通用してしまいます。脆弱性の約46%はパッチ提供前に手口が公になるため、古い＝“穴が開いたまま鍵の開け方も出回っている”状態です。
Q. 更新するとサイトが壊れると聞きました。怖いのですが。
A. 実際に起こり得ます。だからこそ、本番へ当てる前に影響を確認する手順や、壊れても戻せるバックアップが重要になります。「更新が怖い」は、放置ではなく“安全な当て方”で解決すべき問題です。
Q. 何から手をつければいいか分かりません。
A. 「現状の棚卸し（バージョン把握）→バックアップ確保→優先度の高い本体更新→プラグインの整理」の順が基本です。判断に迷う場合は、制作会社や保守業者に相談するのが結局いちばんの近道です。
この記事を書いた人
シエロデザインのサービス
お問い合わせ
Webサイト制作・保守・広告運用・Web戦略チーム支援など、私たちシエロデザインが伴走できる領域はさまざまです。
「うちの場合どうすれば？」というご相談も、まずはお気軽にお声がけください。