「WordPressに脆弱性」というニュースを見たら、自社サイトで確認すべきこと

「WordPressのプラグインに脆弱性、◯十万サイトに影響」。こうしたニュースを見て、うちのサイトは大丈夫だろうか、と不安になったことはないでしょうか。

実際のところ、WordPress関連の脆弱性の報告は毎週のようにあります。多い週にはプラグインとテーマだけで数十件が報告されますし、本体（コア）でも2026年は7月・8月と連続でセキュリティ更新が公開されました。すべてのニュースに怯える必要はありません。必要なのは「自社サイトに関係があるか」を確かめる手順を持っておくことです。

この記事では、その手順を本体の場合とプラグインの場合に分けて説明します。ニュースで取り上げられた主な事例も、記事の後半に随時追記していきます。

ニュースが「本体」のものか「プラグイン」のものかを見分ける

まず、ニュースの対象を確認します。

  • 「WordPress 7.0.3 公開」「WordPress本体に脆弱性」のような書き方なら本体（コア）の話です
  • 「◯◯プラグインに脆弱性」「WordPress用プラグイン◯◯」のような書き方ならプラグインの話で、そのプラグインを使っているサイトだけに関係します

本体の脆弱性だった場合

本体のセキュリティ修正は、多くのサイトでは自動更新によって数日内に適用されます。確認すべきことは次の2点です。

  1. 管理画面の「ダッシュボード」→「更新」で、いま最新版になっているか
  2. 自動更新がそもそも効いているか

自動更新が効いていないサイトの見分け方と対処は、別記事「WordPressのセキュリティ更新、自社サイトに『ちゃんと入っているか』を確かめる方法」で詳しく説明しています。

プラグインの脆弱性だった場合

1. そのプラグインを使っているか確認する

管理画面にログインし、「プラグイン」→「インストール済みプラグイン」を開いて、ニュースに出ていた名前を探します。一覧にない場合、そのニュースは自社サイトには関係ありません。

ログイン情報がわからず確認できない場合は、その状態自体がリスクです。誰も更新できないサイトになっているおそれがあるため、ログイン情報の回復を先に進めてください。

2. 使っていたら、修正版に更新する

  • ニュースや配布ページで「バージョン◯◯で修正済み」という情報を確認します
  • 修正版が出ているなら、バックアップを取ったうえで更新します
  • 修正版が出ていない場合や、そのプラグインの開発が止まっている場合は、プラグインを停止するだけでなく削除し、必要なら代替のプラグインを探します

3. 危険度を読み解くポイント

脆弱性情報には危険度の手がかりが書かれています。ざっくりした読み方はこうです。

  • 「認証されていない攻撃者が悪用可能」: ログイン不要で外部から攻撃できるという意味で、危険度は高めです。急いで対応します
  • 「ログイン済みユーザー（購読者以上など）が必要」: 会員登録を受け付けていない企業サイトなら、リスクは相対的に下がります。それでも更新は必要です
  • 「任意のファイル読み取り」「リモートコード実行」「権限昇格」: サイトの乗っ取りや情報漏えいに直結する種類です。該当プラグインを使っているなら最優先で対応します

ニュースで話題になった主な事例

この項は、大きく報じられた事例が出るたびに追記していきます。

  • 2026年8月: WordPress 7.0.3 — ログイン画面に関わるものを含む11件の脆弱性を修正（公式リリース）
  • 2026年7月: WordPress 7.0.2 — 外部からのサイト乗っ取りにつながりうる深刻な脆弱性2件を修正。対象サイトへの強制自動更新が行われた（公式リリース）
  • 2026年4月: MW WP Form — 国内で広く使われているお問い合わせフォームのプラグインで、ファイルの読み取りに関わる脆弱性が相次いで報告された。日本語サイトでの利用が多く、影響範囲が大きい事例

普段からできる備え

ニュースのたびに慌てないために、日頃の備えとして効くのは次の4つです。

  1. バックアップを自動で取る体制にする（何かあっても戻せるように）
  2. 本体・プラグインの自動更新を活かす（止めるなら、代わりに手動で見る人を決める）
  3. 使っていないプラグイン・テーマは削除する（停止しているだけでは攻撃の入り口になりえます）
  4. 脆弱性情報を見てくれる人を置く（社内に担当がいなければ、保守として外部に任せる）

テンマドでは、WordPressサイトの月額保守として、更新の適用や脆弱性情報のウォッチを含む保守・運用サービスを提供しています。「このニュース、うちのサイトに関係ある？」という単発のご質問からでもかまいません。担い手のいなくなったサイトの引き取り（Webリノベ）とあわせて、お気軽にご相談ください。