※本記事は2026年8月21日時点の情報をもとにしています。WordPressの最新バージョン番号は変わるため、実際の更新状況は管理画面と公式情報で確認してください。
WordPressでブログやホームページを作ったあと、つい後回しになりやすいのがセキュリティ対策です。
「個人ブログだから狙われないだろう」「パスワードを設定しているから大丈夫」「セキュリティプラグインを入れたから安心」と考えたくなりますが、WordPressへの攻撃は必ずしも特定のサイトを人が狙って行うものではありません。古いソフトウェアの脆弱性を探す攻撃や、パスワードを機械的に試す攻撃は自動化できます。
2026年7月17日には、1件のCriticalと1件のHighに分類された脆弱性を修正するWordPress 7.0.2が公開されました。2つを組み合わせると、標準的な構成でもログインしていない攻撃者が遠隔からコードを実行できる可能性があり、一般に「wp2shell」と呼ばれた問題です。
深刻度が高かったため、WordPress.orgは影響を受けるバージョンに強制自動更新を有効化しました。7月21日には米CISAの既知悪用脆弱性カタログへ追加され、日本のIPAも7月22日に注意喚起を公開しています。その後も8月6日に7.0.3、8月12日に7.0.4と、7.0系のセキュリティ修正版が続きました。
なお、2026年8月21日時点のWordPress全体の最新リリースは、8月19日に公開された7.1です。7.0.4は7.0系のセキュリティリリースであり、全体の最新番号ではありません。
必要なのは、高度な防御技術より先に、攻撃されにくくし、侵入されても被害を広げにくくし、問題が起きても戻せる状態を保つことです。ここでは、個人ブログや小規模サイトでも最低限確認しておきたい5つの対策に絞って整理します。
最低限やっておきたい5つのセキュリティ対策
優先順位をつけるなら、次の順番で考えると分かりやすいでしょう。
ポイントは、どれか1つだけでは不十分ということです。
セキュリティプラグインを入れていても古いWordPressを使っていれば危険ですし、すべて更新していても管理者パスワードを使い回していれば、別の経路から侵入される可能性があります。それぞれ役割が違います。
WordPress本体・プラグイン・テーマを更新する
最優先は更新です。
WordPress公式も、本体だけでなく、インストールしているプラグインやテーマを最新状態に保つことを重要な対策として挙げています。
WordPress本体は「古いまま放置」が最も危ない
2026年7月のwp2shellは、この重要性が分かりやすい例です。WordPress 7.0.0〜7.0.1や6.9.0〜6.9.4などが影響を受け、7.0系では7.0.2で修正されました。脆弱性の公開後には実際の悪用も確認されています。
脆弱性が公表されると、修正方法だけでなく「どこに問題があったのか」という情報も広まります。つまり、修正版が出たあとも古いバージョンを使い続けることは、すでに知られている入口を開けておくことになります。
WordPressには、マイナー更新やセキュリティ更新をバックグラウンドで適用する仕組みがあります。ただし、サーバー環境や設定などによって自動更新が正常に動かない場合もあります。「自動更新だから大丈夫」と思い込まず、ときどき「ダッシュボード → 更新」を確認しましょう。
プラグインとテーマも更新対象
WordPress本体だけを更新しても十分ではありません。プラグインやテーマにも脆弱性が見つかることがあり、WordPress 5.5以降ではプラグイン・テーマごとに自動更新を設定できます。
ただし、すべて自動更新にすれば必ず正解というわけではありません。シンプルな個人ブログでは修正版を早く適用できる利点があります。一方、独自カスタマイズが多いサイトや業務サイトでは、バックアップと互換性を確認して迅速に手動更新する運用も考えられます。
大切なのは、自動か手動かではなく、脆弱性が修正されたのに古い状態を長期間放置しないことです。
使っていないプラグインは「無効化」で終わらせず削除する
次に見直したいのが、サイト内に残っている不要なソフトウェアです。WordPress公式のハードニング文書でも、プラグインを最新状態に保ち、使用していないものは削除するよう案内されています。
たとえば、次のようなプラグインです。
- 試しに入れたものの使わなかった
- 以前は使っていたが、今は別の機能へ移行した
- 長期間更新されていない
- 何のために入れたのか分からない
「無効化しているから問題ない」と考えがちですが、使う予定がないものをサーバー上へ残し続ける積極的なメリットはありません。テーマも同様に、実際に使用するものを中心に整理し、残すものは更新しておきます。
新しくプラグインを追加するときは、機能だけでなく、現在も継続してメンテナンスされているかを確認することも大切です。必要なものだけを使うこと自体がセキュリティ対策になります。
管理画面は「強いパスワード＋2FA」で守る
ソフトウェアの脆弱性だけでなく、管理者アカウントそのものを狙う攻撃にも備える必要があります。
基本は、サイトごとに異なる長く複雑なパスワードを使うことです。複数サービスで同じパスワードを使っていると、WordPressとは無関係なサービスから認証情報が漏れた場合でも、その情報を使ってログインを試される可能性があります。WordPress公式もパスワードマネージャーの利用を勧めています。
管理者アカウントでは、できれば2要素認証（2FA）も設定しましょう。2FAは、パスワードに加えて認証アプリなどによる別の確認を組み合わせる仕組みです。仮にパスワードが知られても、それだけではログインしにくくなります。
2026年8月時点でWordPress本体に標準の2FA機能はなく、対応プラグインや認証基盤などを利用します。
複数人で運営するサイトなら、全員を管理者にすることも避けましょう。記事を書く人には投稿に必要な権限だけを与えるなど、必要以上の権限を持たせない方が、1つのアカウントが侵害されたときの被害を抑えられます。
バックアップは「取っている」だけでなく「戻せる」状態にする
セキュリティ対策というと侵入を防ぐことばかり考えがちですが、リスクを完全にゼロにはできません。だからこそ重要になるのがバックアップです。
最低でも、次の両方を定期的に保存します。
- WordPressのファイル
- データベース
さらに、1つだけでなく複数世代を保持する方が安全です。たとえば侵入から10日後に異常へ気付いた場合、直前のバックアップにも不正なファイルが含まれている可能性があります。WordPress公式のバックアップ文書でも、異なる場所へ3〜5世代程度の最近のバックアップを保つ方法が案内されています。
また、バックアップが存在することと、実際に復元できることは別問題です。可能であれば復元方法まで確認しておくと、トラブル発生時に慌てにくくなります。
バックアップは攻撃を防いではくれません。しかし、サイトを取り戻すための最後の手段になります。
セキュリティプラグイン・WAF・監視は「補強策」として使う
ここまで整えたうえで、セキュリティプラグインやWAF（Web Application Firewall）、監視機能を追加すると、さらに守りを固められます。
たとえば、次のような機能があります。
- 不審なログイン試行の検知や制限
- 悪質なアクセスの遮断
- ファイル改ざんやマルウェアのスキャン
- 異常発生時の通知
WordPress公式のハードニング文書でも、WordPress上で動くファイアウォール系プラグインだけでなく、Webサーバー側のWAFや、CDN・リバースプロキシ型のファイアウォールなど複数の方法が紹介されています。
つまり、「このセキュリティプラグインを入れれば安全」という話ではありません。 レンタルサーバーがWAFやマルウェア検知機能を提供している場合もあります。まず自分の環境に何が備わっているかを確認し、不足している機能を補う順番で考えましょう。
セキュリティプラグインも、警告やスキャン結果を確認できる状態にして初めて意味があります。
「すでに侵入されたかも」と思ったら、更新だけでは終わらせない
すでにサイトが侵害されている可能性がある場合、WordPressやプラグインを最新にしただけでは問題が解決しないことがあります。攻撃者が不正なファイルや管理者アカウントを残していれば、脆弱性を塞いだあともアクセスを維持される可能性があるためです。
WordPress公式が挙げている侵害の兆候には、次のようなものがあります。
- 覚えのないユーザーが作成されている
- 検索エンジンやセキュリティソフトから危険なサイトと判定された
- ホスティング会社からサイトを停止された
- 自分が行っていない変更がある
- サイトを開くと明らかに不審な表示になる
こうした異常があれば、むやみにファイルを削除する前に、症状、確認時刻、直前に行った変更などを記録します。そのうえで現在の環境を保存し、マルウェアスキャン、ログやファイルの調査、クリーンなバックアップからの復元などを検討します。正常な状態へ戻したあとには、WordPressの更新やパスワード変更も必要です。
ファイルやデータベースを直接扱った経験がない場合は、レンタルサーバーのサポートやWordPressのセキュリティに詳しい専門家へ相談した方が安全なこともあります。
まず10分で確認するなら、ここを見る
すべてを一度に完璧にする必要はありません。しばらくWordPressのセキュリティを確認していなかったなら、まず次の点を確認してみてください。
- WordPress本体に更新が残っていないか
- プラグイン・テーマに更新が残っていないか
- 使っていないプラグインが残っていないか
- 覚えのない管理者ユーザーがいないか
- 管理者アカウントで強い固有パスワードと2FAを使っているか
- ファイルとデータベースのバックアップがあるか
- サーバーのWAFやセキュリティ機能が有効になっているか
特に長期間放置していたWordPressなら、最初に確認したいのは現在のバージョンと更新状況です。最新バージョン番号は今後も変わるため、この記事の数字だけで判断せず、WordPress公式情報や管理画面で現在の状態を確認してください。
まとめ｜「更新・認証・復旧」の3つを土台にする
WordPressのセキュリティ対策は、専門家だけが行う高度な設定から始める必要はありません。最初に押さえておきたいのは、次の3つです。
古いソフトウェアを放置しない。 管理画面をパスワードだけに頼らない。 何か起きても戻せるバックアップを持つ。
そのうえで不要なプラグインを減らし、WAFやスキャン、監視を組み合わせれば、サイト全体のリスクをさらに下げられます。
2026年7月のwp2shellでは、修正版の公開後まもなく実際の悪用が確認されました。8月にも7.0系のセキュリティ更新が続き、8月19日にはWordPress 7.1が公開されています。
実際に脆弱性は見つかり、それを悪用する攻撃も起きています。だから、日常の運用として備えておく。 このくらいの距離感で考えるのが、個人のWordPress運営ではちょうどよいでしょう。
コメント