WordPress のサイトがねらわれる理由と、今日からできる対策

公開日：2026年10月10日（下書き）

理由1：世界のWebサイトの約4割が WordPress

Web技術の利用の調査を行う W3Techs によると、2026年10月9日時点で、 WordPress は全Webサイトの40.1%、 CMS（コンテンツ管理システム）が判明しているサイトの58.6%で使われています。

攻撃する側から見ると、一つの弱点を見つければ、同じ仕組みの多くのサイトに同じ手口を試せます。
このため、 WordPress のサイトは、自動化された攻撃の対象になりやすい状況にあります。

理由2：プラグインの弱点が多い

WordPress のセキュリティの専門企業 Patchstack は、年次の報告「State of WordPress Security in 2026」で、2025年の状況を次のように公表しています。

同じ報告では、多く悪用された脆弱性について、大量の悪用が始まるまでの時間の中央値を5時間としています。

WordPress の本体よりも、追加で入れたプラグインとテーマに弱点が集中していることがわかります。
また、修正のバージョンが出ていない弱点もあるため、「更新するだけ」では防ぎきれない場合があります。

今日からできる5つの対策

1. 使っていないプラグイン・テーマを削除する
   停止しているだけのプラグインも、ファイルが残っていれば弱点になりえます。
2. 本体・プラグイン・テーマを更新する
   更新の担当者と、確認の頻度（例：毎週）を決めます。
3. 管理画面に2段階認証を設定する
   パスワードが漏れても、第三者によるログインを防ぎやすくします。
4. ログインの試行回数を制限する
   レンタルサーバーによっては、試行回数を制限する機能が用意されています。ご契約のサーバーの設定を確認します。
5. バックアップを別の場所に保存する
   改ざんされたときに、元の状態へ戻せるようにします。

対策の次に確認したいこと

上の対策を取っていても、修正のバージョンが出ていないプラグインの弱点や、設定の見落としは残ることがあります。
WordPress 診断では、本体・テーマ・プラグインの一つひとつについて既知の脆弱性を照合し、管理画面の守りと外部への露出を確認いたします。

WordPress 診断の内容を見る