WordPressのセキュリティ対策は大丈夫？PHPの脆弱性と確認したい8つのポイント

WordPressで企業サイトを運用している場合、定期的なアップデートやセキュリティ対策が欠かせません。

2026年10月21日には、PHPで重大な脆弱性を修正するアップデートが公開されました。PHPはWordPressの動作にも関わるプログラム言語であり、利用しているバージョンやサーバー環境によっては、早急な対応が必要になる場合があります。

ログインしていない外部の第三者からサーバーを操作されるおそれがある深刻度の高い内容で、首相も対応を呼びかけるなど、大きく取り上げられています。

https://www.itmedia.co.jp/news/article/2610/22/2000002483

Webサイトへの不正アクセスは、サイトの改ざんやサービス停止だけでなく、サーバー上の情報が不正に取得されるリスクにもつながります。問い合わせフォームなどで顧客情報を取り扱う企業にとっても、無視できない問題です。

ただし、脆弱性が公表されたこと自体が、個人情報の流出を意味するわけではありません。まずは自社サイトの環境を把握し、必要な対策を進めることが重要です。

この記事では、WordPressのセキュリティ対策で確認したい8つのポイントを紹介します。

WordPressのセキュリティ対策で確認したい8つのポイント

1. PHPのバージョンとセキュリティ更新状況

PHPは、WordPressの動作を支えるプログラム言語です。PHPに脆弱性が見つかった場合、利用している環境によってはWebサイトの安全性に影響する可能性があります。

2026年10月21日には、認証されていない第三者によるリモートコード実行につながるおそれのある重大な脆弱性2件について、修正版が公開されました。

今回の修正版は、次のバージョンです。

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

上記は今回の脆弱性に対応したバージョンです。利用環境によっては、サーバー提供元などが独自に修正を適用している場合もあるため、バージョン番号だけで判断せず、提供元の案内も確認してください。

👉 確認したいこと

• 現在利用しているPHPのバージョン
• 利用環境に対応するセキュリティ修正が適用されているか
• サポートが終了したバージョンを利用していないか

PHPの更新はサーバー側の設定に関わるため、安易に切り替えると、WordPress本体やプラグインが正常に動作しなくなる場合があります。更新前にバックアップを取得し、互換性を確認したうえで対応しましょう。

2. WordPress本体を最新の状態に保つ

WordPress本体に脆弱性が見つかった場合、修正版がアップデートとして公開されることがあり、古いバージョンを使い続けると、既知の脆弱性を悪用されるリスクが高まります。

管理画面の「ダッシュボード」から更新情報を確認し、利用中のテーマやプラグインとの互換性にも注意しながら、適切に更新しましょう。

3. プラグインを更新する

プラグインは、WordPressに機能を追加するための仕組みです。問い合わせフォームやSEO対策など、さまざまな用途で利用されています。

一方で、プラグインに脆弱性が見つかるケースもあります。更新を長期間行っていない場合や、開発・サポートが終了している場合は注意が必要です。

👉 確認したいこと

• 更新通知が放置されていないか
• 脆弱性に関する情報が公開されていないか
• 開発やサポートが継続されているか

更新時は、バックアップを取得し、更新後にサイトやフォームが正常に動作するか確認することをおすすめします。

4. テーマを更新する

WordPressのテーマは、Webサイトのデザインや表示機能を担います。テーマにも脆弱性や不具合が見つかる場合があるため、更新状況を確認することが大切です。

独自にカスタマイズしている場合は、更新によって表示や機能に影響が出る可能性もあります。更新の必要性と影響範囲を確認してから対応しましょう。

5. 使用していないプラグイン・テーマを整理する

使っていないプラグインやテーマを残したままにしていませんか？

利用していないものでも、管理が不十分な状態で残っていると、セキュリティ上のリスクにつながる場合があります。

不要なプラグインやテーマは、必要性を確認したうえで削除しましょう。現在利用しているものについても、必要な機能だけに絞ることが大切です。

6. ログイン情報とユーザー権限を見直す

管理画面への不正ログインを防ぐためには、ログイン情報やアカウントの管理も重要です。

👉 確認したいこと

• 推測されやすいパスワードを使用していないか
• 同じパスワードを複数のサービスで使い回していないか
• 不要な管理者アカウントが残っていないか
• 担当者ごとに必要な権限が設定されているか
• 利用できる場合は、多要素認証などを導入しているか

退職者や外部委託先のアカウントが残っている場合も、利用状況を確認し、不要な権限を停止・削除しましょう。

7. WordPressのバージョン情報やユーザー情報の公開状態を確認する

Webサイトの設定によっては、WordPressのバージョン情報やユーザー名など、攻撃の手がかりとなる情報が外部から確認できる場合があります。

こうした情報が公開されているだけで、直ちに不正アクセスや情報漏えいが発生するわけではありません。ただし、攻撃対象を絞り込むための情報として利用される可能性があります。

👉 確認したいこと

• 不要なバージョン情報が公開されていないか
• 投稿者情報などからユーザー名を推測できないか
• ディレクトリ一覧や設定ファイルなどが意図せず公開されていないか

情報の公開状態は、テーマやプラグイン、サーバー設定などによっても異なります。単に表示を隠すだけでなく、WordPress本体や関連ソフトウェアの更新など、基本的な対策を優先しましょう。

8. バックアップと復旧手順を確認する

セキュリティ対策を行っていても、すべてのリスクをゼロにすることはできません。不正アクセスやサイト改ざん、操作ミスなどに備え、バックアップを取得しておくことが重要です。

👉 確認したいこと

• Webサイトのデータとデータベースをバックアップしているか
• バックアップが定期的に取得されているか
• 必要なときに復元できる状態か
• バックアップデータ自体も安全に保管されているか

バックアップは取得するだけでなく、復元できることを確認しておくと、万が一の際にも対応しやすくなります。

不正アクセスは個人情報の流出につながる？

Webサイトのセキュリティ対策で気になるのが、個人情報や顧客情報への影響です。

不正アクセスを受けた場合、状況によってはサイトの改ざんやサービス停止に加え、サーバー上のファイルやデータベースに保存された情報が不正に取得される可能性があります。

例えば、問い合わせフォームから受け取った氏名・メールアドレス・問い合わせ内容などを保存している場合、サーバーやアプリケーションの侵害が情報漏えいにつながるおそれがあります。

ただし、PHPやWordPressの脆弱性が公表されたことだけで、個人情報が流出したと判断することはできません。 実際の影響は、利用しているバージョンやサーバー環境、設定、攻撃の有無などによって異なります。

そのため、脆弱性情報を確認し、必要な更新を適用するとともに、ログやサイトの挙動に不審な点がないかを確認することが大切です。情報漏えいの疑いがある場合は、サーバー管理者やセキュリティの専門家に相談し、状況に応じた調査を進めましょう。

WordPressのセキュリティ状況を確認する方法

まずは、次の項目を確認してみましょう。

• PHPのバージョンとセキュリティ修正の適用状況を把握している
• WordPress本体を適切に更新している
• プラグインとテーマを更新している
• 使用していないプラグイン・テーマを整理している
• 管理者アカウントとユーザー権限を見直している
• バージョン情報やユーザー情報の公開状態を確認している
• バックアップを取得し、復元できることを確認している
• 不審なアクセスやサイトの変化を確認できる体制がある

PHPのバージョンやサーバー設定は、レンタルサーバーの管理画面などで確認できます。WordPress本体やプラグインの更新状況は、管理画面から確認可能です。

ただし、管理画面で更新通知がないことだけで、サイト全体が安全だとは判断できません。公開されている情報やサーバー環境も含めて確認する必要があります。

WordPressのセキュリティ診断を検討したいケース

次のような場合は、一度セキュリティ状況を確認することをおすすめします。

• 長期間、WordPress本体やプラグインを更新していない
• PHPのバージョンやサーバーの設定が分からない
• Webサイトの制作会社や管理担当者が変わり、管理状況を把握できていない
• 問い合わせフォームなどで顧客情報を取り扱っている
• 不正アクセスやサイト改ざんへの備えが十分か分からない

セキュリティ対策は、一度実施すれば終わりではありません。ソフトウェアの更新や運用体制の見直しを継続することが重要です。

フロンティアの無料WordPressセキュリティ診断

株式会社フロンティアでは、WordPressサイトのセキュリティ状況を確認する無料診断を実施しています。

自社サイトの更新状況や設定など、気になる点がある場合はご相談ください。

診断で確認できる内容

• WordPress本体やプラグインなどの更新状況
• 脆弱性に関する確認
• バージョン情報やユーザー情報などの公開状態
• セキュリティ設定に関する確認

※診断の対象範囲や確認できる項目には条件があります。PHPの更新やサーバー側の設定変更が必要な場合は、利用中のサーバー環境や管理体制を確認したうえで、対応方法をご案内します。

「何から確認すればよいか分からない」「現在の管理状況に問題がないか確認したい」といった場合も、お気軽にお問い合わせください。

よくある質問

Q. WordPressを最新バージョンにしていれば安全ですか？

WordPress本体を更新することは重要ですが、それだけで十分とは限りません。PHPやプラグイン、テーマ、ログイン管理、サーバー設定なども含めて確認する必要があります。

Q. PHPの脆弱性が見つかった場合、すぐに更新する必要がありますか？

利用しているバージョンや環境、脆弱性の内容によって対応は異なります。今回のように重大な脆弱性が公表された場合は、公式情報とサーバー提供元の案内を確認し、対応する修正版の適用を速やかに検討してください。更新前には、バックアップや互換性の確認も行いましょう。

Q. セキュリティ対策をしていないと、個人情報が流出しますか？

セキュリティ対策が不十分な場合、情報漏えいのリスクが高まる可能性はあります。ただし、対策不足や脆弱性の存在だけで、実際に情報が流出したとは断定できません。利用環境を確認し、必要な対策を進めることが大切です。

Q. 専門知識がなくてもセキュリティ状況を確認できますか？

WordPress管理画面から、更新通知や利用中のプラグインなどを確認できます。一方、PHPのバージョンやサーバー設定、外部に公開されている情報などは、専門的な確認が必要な場合があります。判断が難しい場合は、制作会社やサーバー提供元に相談しましょう。

まとめ｜WordPressのセキュリティ対策は定期的な確認が重要

WordPressサイトを安全に運用するためには、本体やプラグインの更新だけでなく、PHPのバージョン、アカウント管理、情報の公開状態、バックアップなどを総合的に確認することが重要です。

特に、重大な脆弱性が公表された際は、自社サイトが影響を受ける環境かどうかを確認し、必要な対応を進めましょう。

不正アクセスは、サイトの改ざんやサービス停止だけでなく、状況によっては個人情報などの流出につながる可能性もあります。日頃から対策と確認を継続し、安心して利用できるWebサイトの運用を目指しましょう。

自社サイトのセキュリティ状況に不安がある場合は、是非フロンティアの無料WordPressセキュリティ診断をご活用ください。