2026年7月 WordPressに重大な脆弱性
WordPressのセキュリティ対策
そのWordPress、
作ったまま放置していませんか？
「HTMLが分からなくても、新着記事やページを作れるから」と選んだWordPress。
でも、WordPressを作った当時のまま、放置をしているとPHPや本体、プラグインが古いままになり、ページを書き換えられて偽サイトへ誘導されたり、お問い合わせで預かった個人情報を盗まれたりするおそれがあります。
狙われるのは、ECサイトや大企業だけではありません。
相談は無料です。サイトのURLだけでお申し込みいただけます。
CHECK
こんな状態になっていませんか？WordPressを放置するリスクのセルフチェック
当てはまるものをクリックしてください。1つでも当てはまれば、今すぐ確認が必要です。
WHY
そもそも、WordPressの何がダメなの？WordPressが攻撃に狙われる3つの理由
WordPressが悪いわけではありません。問題は「放置」です。
WordPressは世界中のWebサイトの約4割で使われている、信頼性の高いシステムです。ただし、利用者が多いからこそ、攻撃する側にとっても「狙いやすい的」になります。
1
弱点は、本体よりも「プラグイン」に見つかることが多い
便利な機能を追加するプラグインは、世界中のさまざまな開発者が作っています。弱点（脆弱性）が見つかるのは、WordPress本体よりもプラグインの方がはるかに多いのが実情です。
2
攻撃しているのは「人」ではなく「プログラム」
攻撃者は、弱点のあるサイトをプログラムで自動的に探し回っています。会社の規模や知名度は関係ありません。「うちみたいな小さな会社は狙われない」は、残念ながら通用しません。
3
弱点は、更新すればふさがる
弱点が見つかると、多くの場合はすぐに修正版が配布されます。つまり、更新していないサイトだけが、弱点を抱えたまま残り続けるのです。
たとえるなら…
人気メーカーの鍵ほど、合鍵の作り方が出回ります。
鍵（WordPress）が悪いのではなく、鍵を交換しない（更新しない）ことが危ないのです。
RISK
WordPressには、どんな攻撃があるの？WordPressへの主な攻撃と、会社が受ける被害
「何をされるか」より、「会社に何が起きるか」で見てください。
不正ログインパスワードの総当たり
サイトを乗っ取られ、勝手に書き換えられる
弱点を突いた改ざん
社名で検索すると、怪しいサイトに飛ばされる
ウイルスの埋め込み
サイトを見た取引先やお客様のパソコンが感染する
踏み台にされる
自社のサーバーから、迷惑メールや他社への攻撃が送られる
問い合わせフォームへのスパム
本当の問い合わせが、迷惑メールに埋もれる
ECサイトがなくても、失うものがあります。それは「会社の信用」です。
- Googleの検索結果に「このサイトは危険です」と表示される
- 取引先から「御社のサイトを見たらウイルス警告が出た」と連絡が来る
- 復旧のために、調査費用や作り直しの費用がかかる
- 問い合わせフォームの情報が漏れれば、個人情報漏えいとして報告が必要になることも
実際に、この数か月でも重大な弱点が見つかっています
2026年7月
WordPress「wp2shell」危険度 9.8 / 10
ログイン不要で、外部からサイトを乗っ取れる弱点。IPA（情報処理推進機構）も注意喚起を出しました。
2026年10月
PHP「PHP2Shell」危険度 9.2 / 10
WordPressを動かしている土台のプログラム（PHP）に見つかった弱点です。
※ 時点の情報です。
参考：IPA「WordPressの脆弱性対策について（CVE-2026-60137、CVE-2026-63030：wp2shell）」
reCAPTCHA
reCAPTCHAを入れているけど、大丈夫？reCAPTCHAで守れる範囲と、おすすめのフォーム対策
reCAPTCHAが守れるのは、「フォームへのいたずら投稿」だけです。
問い合わせフォームに機械的に送られてくる迷惑投稿を防ぐ、とても大切な対策ですが、サイト全体を守るものではありません。サイトを家にたとえると、守るべき場所はこれだけあります。
reCAPTCHAが守るのはここだけ
1
問い合わせフォーム
reCAPTCHA
2
管理画面へのログイン
2段階認証、ログイン制限
3
プラグインや本体の弱点
更新、脆弱性の管理
4
サーバー
WAF、監視
5
万が一のとき
バックアップ
reCAPTCHAを入れていても、玄関の鍵が開いていれば意味がありません。
もうひとつ、見落としがちなポイント
reCAPTCHAは2025年から Google Cloud での管理に移行し、利用量によっては有料になりました。設定を見直していないと、気づかないうちにフォームの保護が止まっていることも考えられます。
おすすめ
フォーム対策には「Cloudflare Turnstile」がおすすめです
reCAPTCHAの代わりとして、私たちは Cloudflare Turnstile をおすすめしています。
- 無料で使える：利用量による課金を気にせず導入できます。
- お客様の手間がない：「信号機の画像をすべて選んでください」のようなパズルが基本的に出ないため、問い合わせの途中で離脱されにくくなります。
- WordPressに導入しやすい：Contact Form 7 などの定番フォームにも対応しています。
- MODULLOのサイトでも導入しています：私たち自身が使っている方法です。
※ Turnstileも、守れるのはフォームだけです。玄関の鍵や窓の修理など、ほかの対策もあわせて必要です。
PLUGIN
プラグインがたくさん入っているけど、どれが大事なの？WordPressセキュリティプラグインの優先順位
大切なのは「数」ではなく、「必要なものを、正しく、更新し続けること」です。
プラグインは入れれば入れるほど安全になる、というものではありません。数が増えるほど、弱点が見つかる可能性も、更新の手間も増えます。
| 優先度 | 対策 | プラグインの例 |
|---|---|---|
| ★★★ 必須 | 総合セキュリティ（不正アクセス対策、ウイルスチェック）を1つ | Wordfence Security、SiteGuard WP Plugin |
| ★★★ 必須 | バックアップ | UpdraftPlus |
| ★★★ 必須 | 2段階認証 | Two-Factor、WP 2FA |
| ★★ 推奨 | 操作記録（誰がいつ何を変えたか） | WP Activity Log |
| ★★ 推奨 | 弱点の通知 | Patchstack |
| ★ 状況に応じて | フォームの迷惑投稿対策 | Cloudflare Turnstile（おすすめ）、reCAPTCHA |
| ✕ 見直し | 使っていない／長い間更新されていないプラグイン | 削除がいちばんの対策です |
「無料のプラグインを入れたから安心」も要注意
たとえば定番の Wordfence でも、無料版は攻撃パターンの更新が有料版より約30日遅れます。新しく見つかった弱点には、すぐには対応できません。
また、セキュリティ対策のためのプラグインそのものに、重大な弱点が見つかったこともあります。
LAYER
プラグインだけでは、サイトは守りきれませんサーバー・WordPress・運用の3層で守るセキュリティ対策
サイトを守るには、3つの層があります。
運用
日々の安全
WordPress本体やプラグインの更新、定期的な確認
プラグインで守れるのはここだけ
WordPress
ログイン、プラグイン、フォーム
セキュリティプラグイン、2段階認証、不要なプラグインの整理
サーバー
WordPressに届く前の攻撃
WAF、不正アクセスの自動遮断、24時間365日の監視
プラグインで守れるのは、真ん中の層だけです。
「更新したくても、できない」サイトも少なくありません
何年も前に作ったサイトでは、デザインの仕組み（テーマ）が古く、WordPressやPHPを最新にすると表示が崩れたり、動かなくなったりすることがあります。
この場合、プラグインを足すだけでは根本的な解決になりません。更新し続けられる状態にサイトを作り直すことが、いちばん確実な対策です。
SOLUTION
あなたのサイトに合わせて、
2つの方法をご用意していますWordPressセキュリティ対策の導入・代行、リニューアルのご依頼
PLAN A
セキュリティ対策の導入
こんなサイトに
比較的新しく、更新できる状態のサイト
内容
プラグインの整理と導入、設定の見直し、バックアップの設定
費用の目安
都度お見積り
公開後のアップデート・保守
ご相談ください
PLAN B
MODULLOでリニューアル
こんなサイトに
古いテーマで、更新すると崩れてしまうサイト
内容
今のサイトの内容を活かし、安全に更新し続けられる構成で作り直し
費用の目安
360,000円〜（税別）
公開後のアップデート・保守
ご相談ください
どちらが合うか分からなくても大丈夫です。今のサイトの状態をお聞きして、最適な方法をご提案します。
公開後のアップデートや保守は、サイトの規模や更新頻度に合わせてご提案します。まずはお気軽にご相談ください。
サーバーは、今お使いのままでも対応できます
今のレンタルサーバーのままでも、PLAN AとPLAN Bのどちらにも対応可能です。
ディーネットのサーバーなら、さらに強固に
ディーネットの共有サーバー「Palette UP」は、すべてのプランに次のセキュリティ機能とサポートが標準で付いています。
- WAFWebサイトへの攻撃を、WordPressに届く前にブロック
- 不正アクセスの自動遮断ログインを何度も試すような怪しいアクセスを自動でブロック
- 24時間365日のサーバー監視夜間や休日も、サーバーを見守ります
- SSL証明書通信を暗号化（無料SSLにも対応）
- バックアップホームページとメールのバックアップを設定できます
- 平日の電話サポート平日9時〜18時は、電話で直接相談できます
月額2,000円（税別）からご利用いただけます。
サーバーからサイト制作まで同じ会社に任せられるので、何かあったときの窓口が1つで済みます。
「サイトは制作会社、サーバーは別の会社で、問い合わせ先が分からない」ということがなくなります。
FLOW
ご相談から対策完了までの流れ
- 無料相談のお申し込みフォームから、サイトのURLとご連絡先をお送りください。
- ヒアリング今のサイトの状況や、お困りごとをお聞きします。
- ご提案・お見積り「対策の導入」か「リニューアル」か、サイトに合った方法をご提案します。
- 対策・リニューアルの実施必要に応じて、サーバーの移行も合わせて行います。
- 公開後の運用についてご相談アップデートや保守の進め方を、一緒に考えます。
FAQ
よくあるご質問WordPressのセキュリティ対策について
他社が作ったサイトでも相談できますか？
はい、ご相談いただけます。まずは今のサイトの状況をお聞かせください。
サイトを止めずに対策できますか？
対策の内容によって異なります。サイトを止める必要がある場合は、影響が少ない日時をご相談のうえ進めます。
社内に詳しい担当者がいなくても大丈夫ですか？
大丈夫です。専門用語はできるだけ使わずにご説明します。
今のサーバーのままでも大丈夫ですか？
はい、対応できます。サーバー側にもリスクがある場合は、ディーネットのサーバーへの移行もあわせてご提案します。
サーバーの移行は大変ですか？
WordPressのデータ移行を代行するサービス（100,000円・税別）をご用意しています。リニューアルと同時に移行することもできます。
公開後のアップデートもお願いできますか？
サイトの状況に合わせて、アップデートや保守の方法をご提案します。お問い合わせの際にご相談ください。
費用はどのくらいかかりますか？
MODULLOでのリニューアルは360,000円〜（税別）です。セキュリティ対策の導入は、サイトの状態によって作業内容が変わるため、お見積りとなります。
サイトの安全は、
「今どうなっているか」を知ることから始まります。
攻撃は、ある日突然やってきます。
被害が出てから慌てるより、今のうちに一度、サイトの状態を確認しませんか？
相談は無料です。サイトのURLをお送りいただくだけで、お申し込みいただけます。
MODULLOは、24時間365日体制でサーバーの運用を支援する
株式会社ディーネットのWeb制作サービスです。
