この記事の要約

WordPressはシェアが高く、ソースコードも公開されているため、企業の規模を問わず攻撃の対象になりやすいシステムです。本体・プラグイン・テーマを最新に保つ、強固なパスワードを設定する、不要なプラグインやテーマを削除する、バックアップと復旧方法を準備する、の4つが基本の対策です。

WordPressは多くの企業に導入され、高いシェアを誇っています。

直感的に操作でき、カスタマイズ性にも優れている一方、世界中で広く使われているため、サイバー攻撃の対象になりやすい面もあります。
「うちは規模が小さいから大丈夫」と考えてしまうかもしれません。しかし、攻撃者は企業の規模を問わず狙ってきます。
万が一サイトが改ざんされたり、不正プログラムを埋め込まれたりすると、訪問者に被害が及んだり、企業の信用を失ったりするおそれもあります。

そこで今回は、WordPressを安全に運用するために知っておきたいセキュリティ対策の基本を解説します。

１．WordPressが狙われやすい理由

シェアが高く、効率よく多くのサイトを狙える

WordPressは、世界中の全Webサイトの約4割、CMSを使うサイトに限れば6割近いシェアを誇っています（W3Techs調べ、2026年10月時点）。
これは、攻撃者が一つの攻撃手法で多数のサイトを攻撃できるということです。
サイトを一つずつ調べて個別に攻撃するより、WordPressという共通の仕組みを狙ったほうが、攻撃者にとって効率がよいのです。

つまり、WordPressを使っているサイトは、それだけで攻撃対象になる可能性があります。

オープンソースで仕組みが公開されている

WordPressは「オープンソース」のソフトウェアです。

オープンソースとは、プログラム（ソースコード）が公開されていて、誰でも仕組みを確認したり改良したりできるソフトウェアのことです。

これにより、世界中の開発者が便利なプラグインやテーマを作れるというメリットがあります。反面、悪意ある攻撃者にも「設計図がすべて手に入る」というデメリットがあります。
攻撃者は公開されているソースコードを徹底的に分析し、セキュリティ上の抜け穴（脆弱性）をじっくり探せます。

２．特に注意したい狙われやすい場所

WordPressのサイト運用で、攻撃の対象になりやすく、特に注意すべき3つのポイントを解説します。

①ログイン画面

管理者のIDとパスワードが攻撃者に知られると、管理画面に不正ログインされる可能性があります。

管理者権限を乗っ取られると、記事の改ざんや不正なユーザーの追加、設定の変更など、サイトを自由に操作されるおそれがあります。

・ブルートフォースアタック（総当たり攻撃）
推測されやすいユーザー名に対して、コンピューターでパスワードの組み合わせを何万通りも超高速で自動入力し、無理やり突破しようとする攻撃手法です。

・パスワードの使い回し
他のWebサービスで漏えいしたIDとパスワードのリストを悪用し、WordPressの管理画面へのログインを試みる「リスト型攻撃」も増えています。パスワードを使い回していると、サイトを乗っ取られる原因になります。

②プラグインやテーマ

WordPressでは、プラグインやテーマを追加すると、さまざまな機能やデザインを簡単に加えられます。
しかし、これらにもセキュリティ上の注意が必要です。

・開発の停止や、アップデート忘れ
プラグインやテーマにセキュリティ上の問題が見つかると、開発者が修正プログラムを提供します。
ところが、開発が終了していると、脆弱性が見つかっても修正プログラムは提供されません。
また、管理者が長期間アップデートしていなければ、古いバージョンの脆弱性を悪用されるおそれがあります。

・配布元が不明なテーマ・プラグイン
WordPress公式ディレクトリ以外で配布されている、出所のわからないテーマやプラグインには、不正なプログラムが仕込まれている場合があります。

③古いバージョンのWordPress

WordPress本体にも、開発の過程でセキュリティ上の問題が見つかることがあります。
そのため、WordPressでは脆弱性などを修正した新しいバージョンが配布されます。
しかし、管理者が新しいバージョンにアップデートしないと、脆弱性がそのまま残ってしまいます。
特に、長期間アップデートされていないWebサイトは「管理されていないサイト」と判断され、攻撃対象として狙われる可能性が高まります。

３．WordPressの基本のセキュリティ対策

Webサイトが攻撃を受けるリスクを最小限に抑えるために、今日から取り組める基本の対策を紹介します。

WordPress本体・プラグイン・テーマを最新にする

WordPress本体やプラグイン、テーマは、できるだけ最新の状態に保ちましょう。
古いバージョンを使い続けると、すでに見つかっている脆弱性を悪用されるリスクが高まります。

ただし、アップデートによってサイトの表示や機能に影響が出る場合もあります。
そのため、重要なサイトでは、事前にバックアップを取ってからアップデートするなど、慎重に進めることも大切です。

強固なパスワードを設定する

管理画面への不正ログインを防ぐには、推測されにくいパスワードを設定することが基本です。
また、他のWebサービスで使っているパスワードの使い回しは避けましょう。

可能であれば、2段階認証などの追加の認証対策を導入することも、不正ログイン対策として有効です。

不要なプラグイン・テーマを削除する

使っていないプラグインやテーマをそのまま残しておくと、脆弱性が見つかった場合に、サイト全体の安全性に影響する可能性があります。
なお、無効化していても、サーバー内にファイルが残っている限り、そのプログラムの脆弱性を突かれて攻撃されるリスクは残ります。
不要なものは削除して、WordPressの構成をできるだけシンプルにしておくとよいでしょう。

バックアップと復旧方法を準備しておく

どれだけ万全な対策をしていても、攻撃のリスクをゼロにすることはできません。
被害に遭ったときにサイトを元通りにできるよう、バックアップを用意しておきましょう。

定期的に自動でバックアップを取り、保存先、戻せる時点、復旧の手順まで確認しておくことが大切です。
バックアップについては「Webシステムのバックアップとは？データ消失のリスクと正しい対策」で詳しく解説しています。

まとめ

WordPressは多くのWebサイトで使われている便利なCMSですが、利用者が多いぶん、攻撃の対象にもなりやすいシステムです。

そのため、WordPressを安全に運用するには、

といった基本的な対策を継続することが大切です。

ここまで紹介したのは、WordPressそのもののセキュリティを高める方法です。
一方で、攻撃の対象となるWordPressそのものを隠してしまうという考え方もあります。

その方法の一つが、「SSG（Static Site Generator）」を使ってWebサイトを静的化することです。
WordPressの脆弱性を突く攻撃のリスクを減らせる仕組みとして、今多くの企業から注目を集めています。

次回のコラムでは、このSSG化について詳しく解説します。

「最新バージョンへのアップデートでサイトが崩れないか心配」「バックアップの適切な設定方法がわからない」など、WordPressの運用やセキュリティ対策でお困りではありませんか。
貴社のサイトの状況を診断し、安全なアップデート対応から日々のバックアップ運用、さらにセキュリティを強固にするサイト改修まで、トータルでサポートいたします。
株式会社パパグラムへお気軽にお問い合わせください。

出典
W3Techs「Usage statistics and market share of WordPress」（2026年10月2日閲覧）