WordPressの乗っ取り・改ざんの多くは、「既知の脆弱性の放置」が原因と言われています。裏を返せば、本体・テーマ・プラグインを最新に保ち、ログインとバックアップを固めるだけで、被害に遭うリスクは大きく下げられます。この記事では、専門知識がなくても押さえられる最低限の対策を整理します。
なぜWordPressは狙われやすいのか
WordPress（ブログやサイトを作るための無料ソフト）は、世界のWebサイトの4割前後を占めるとされる、最も普及したCMS（コンテンツ管理システム）です。便利で情報も多い一方、その普及率ゆえに攻撃者にとっても「狙う価値のある的」になっています。
普及しているぶん、1つの脆弱性が見つかると一斉に狙われる。攻撃は自動化されており、無名の小さなサイトでも例外なくスキャンされる
テーマ（見た目）やプラグイン（機能追加）で第三者が作ったコードを足していく仕組み。部品が増えるほど、弱点が入り込む余地も増える
「作って公開したら終わり」になりやすい。更新されないまま何年も動いているサイトは、既知の穴が開きっぱなしになりやすい
管理画面のURLやファイル構成が世界共通。攻撃者は「どこを叩けばいいか」を最初から知っている
脆弱性は「3つの場所」から生まれる
WordPressの弱点は、大きく3か所から生まれます。どこが原因になり得るかを知っておくと、対策の優先順位がつけやすくなります。
| 発生源 | 内容 | 傾向 |
|---|---|---|
| 本体（コア） | WordPress本体そのものの不具合 | 発見されると公式が修正版を出す。更新すれば塞げる |
| テーマ | サイトの見た目を作る部品 | 無料配布・非公式テーマは更新が止まりやすく注意 |
| プラグイン | 機能を追加する部品 | 侵入経路として最も多いとされる。数が多く、更新が止まったものが放置されやすい |
ポイント: 「本体だけ最新」でも安心はできません。テーマとプラグイン、とくに使っていない・更新が止まったプラグインが穴になりやすい、というのが実務上の勘所です。
最低限やるべき脆弱性対策
高価なツールを入れる前に、まずやるべきことがあります。多くは費用をかけずにできます。
- 本体・テーマ・プラグインを最新に保つ — 最大の対策。自動更新を設定しつつ、更新後はサイトの表示が崩れていないか必ず確認する（更新自体が失敗していることもあるため）
- 使っていないテーマ・プラグインは「削除」する — 「停止」だけでは不十分。有効化していなくても、ファイルが残っていれば攻撃対象になり得る
- 導入元が不明・更新が止まった部品を避ける — 長期間更新されていないプラグインは、脆弱性が放置されている可能性がある。代替を検討する
- 管理画面のログインを固める — 強いパスワード＋2段階認証（ログイン時にスマホの確認コードなどを追加する仕組み）＋ログイン試行回数の制限。総当たり攻撃への基本防御
- 定期的にバックアップを取る — 万一改ざんされても、正常な状態に戻せることが最後の砦。復元まで試しておくと安心（会社全体のセキュリティ対策も参照）
- SSL/HTTPS とサーバー側の防御を確認 — 通信の暗号化（SSL（HTTPS）とは）に加え、契約中のサーバーにWAF（不正な通信を手前で遮断する防御機能）があれば有効化しておく
「自動更新してるから大丈夫」の落とし穴
「自動更新をオンにしているから安心」と思っていても、実際には守れていないケースがあります。
自動更新の設定が外れていたり、エラーで止まっていることがある。管理画面で「実際に最新か」を確認する必要がある
大きな更新でデザインや機能が壊れることがある。だからこそ更新後の確認とバックアップがセットで要る
制作した会社と連絡が取れず、誰も更新していない放置サイト。管理者不在が最も危険な状態
つまり、脆弱性対策は「一度設定して終わり」ではなく、更新を当てて、壊れていないかを見届けるという運用の繰り返しです。ここが手間で、放置につながりやすいポイントでもあります。
なお、放置していたサイトを引き継ぎたい場合は WordPressサイトの保守引き継ぎ、すでに乗っ取り・改ざんに遭ってしまった場合は 乗っ取りからの復旧手順 を参照してください。
自分で守るか、保守に任せるか
対策は難しくありませんが、継続的に手をかけ続けられるかどうかが分かれ目です。自社で回せるか、外部に任せるかを整理してみてください。
| 観点 | 自社で管理 | 保守を外注 |
|---|---|---|
| 費用 | 抑えられる | 月額が発生する |
| 手間 | 更新・確認・バックアップを継続する必要がある | 任せられる |
| 向くケース | 担当者がいて、更新運用を続けられる | 担当者がいない・本業に集中したい・放置状態を解消したい |
| リスク | 忙しさで放置されがち | 委託先の選定が必要 |
どちらが正解ということはありません。**「更新を継続できる体制があるか」**が判断軸です。運用を続ける自信がなければ、放置してリスクを抱えるより、保守に切り出すほうが結果的に安全なこともあります。
なお、そもそもWordPressである必要があるかを見直す選択肢もあります。更新の手間や脆弱性の的を減らしたい場合は、WordPressから他の仕組みへの移行も検討の余地があります。
まとめ
- 乗っ取り・改ざんの多くは、既知の脆弱性を放置した結果とされる
- 本体だけでなく、テーマ・プラグイン、とくに使っていない・更新が止まった部品が穴になりやすい
- 対策の基本は「最新に保つ・ログインを固める・バックアップを取る」。多くは費用をかけずにできる
- 難しいのは技術ではなく継続運用。放置されがちなら、保守に任せるのも合理的な選択
JIT株式会社では、WordPressサイトの保守・セキュリティ対応・リニューアルに対応しています。「自動更新がちゃんと動いているか不安」「作った会社と連絡が取れず放置している」といった状態でもご相談ください。まず現状を把握したい方には、サイト診断もご用意しています。