WordPressが狙われる理由は「多いから」
WordPressは世界で最も使われているCMS（コンテンツ管理システム）です。使っているサイトが多いということは、攻撃する側から見れば「1つの手口で大量のサイトを試せる」ということでもあります。
実際の攻撃は、人が1件ずつ狙うものではなく、ほとんどが自動化されたプログラムによる総当たりです。「うちは小さな会社だから狙われない」は通用しません。管理画面のURL（/wp-admin/ や /wp-login.php）は誰でも知っていますし、古いプラグインが入っているかどうかもプログラムで機械的に調べられます。
Web制作の仕事をしていると、改ざんされたWordPressサイトの相談をときどき受けます。原因をたどると、だいたい次のどれかです。
- プラグインやテーマが何年も更新されていない
- 管理者のパスワードが短い、または使い回し
- 制作会社が納品したまま、誰も保守していない
逆に言えば、この3つを潰すだけで被害の大半は防げます。この記事では、2026年11月時点の情報をもとに、中小企業のWordPressサイトでやるべき対策を優先度順にまとめました。
---
まずはここから：WordPressセキュリティ対策チェックリスト
先に全体像を表にしておきます。「優先度：高」の項目は、今日中に確認してください。
| No. | 対策 | 優先度 | 作業の目安 | |---|---|---|---| | 1 | WordPress本体を最新版にする | 高 | 管理画面から数分 | | 2 | プラグイン・テーマを更新し、使っていないものは削除 | 高 | 30分〜 | | 3 | PHPのバージョンを推奨版に上げる | 高 | サーバー管理画面で数分（動作確認は別途） | | 4 | 管理者パスワードを長く・使い回しなしに変更 | 高 | 数分 | | 5 | 二段階認証（2要素認証）を設定 | 高 | 15分 | | 6 | ログイン試行回数の制限 | 高 | サーバー機能かプラグインで数分 | | 7 | サーバーのWAFを有効化 | 高 | 数分（反映に時間がかかる場合あり） | | 8 | 自動バックアップを設定し、復元を試す | 高 | 1時間〜 | | 9 | 管理者アカウントの棚卸し（退職者・制作会社のアカウント） | 中 | 15分 | | 10 | 管理画面からのファイル編集を無効化 | 中 | 数分 | | 11 | XML-RPCを使っていなければ制限 | 中 | 数分 | | 12 | 海外からの管理画面アクセスを制限 | 中 | サーバー機能で数分 | | 13 | SSL（HTTPS）を常時有効にする | 中 | 数分〜 | | 14 | 改ざん検知・マルウェアスキャン | 中 | 30分 | | 15 | 保守の担当者と頻度を決める | 中 | 社内の合意が必要 |
ここからは、項目ごとに「なぜ必要か」と「どうやるか」を説明します。
---
更新：対策の8割はアップデートで決まる
WordPress本体のバージョン
2026年11月時点の最新版はWordPress 7.1系です（10月28日にセキュリティリリースの7.1.4が公開）。12月には7.2が予定されています。WordPressは基本的に最新のメジャーバージョンだけを正式なサポート対象としているので、「6系のまま止まっている」サイトは早めに上げてください。
WordPressは3.7以降、マイナーアップデート（セキュリティ修正など）が既定で自動適用されます。ただし、サーバーの設定や制作時のカスタマイズで自動更新が止められているケースもあります。管理画面の「ダッシュボード → 更新」で、今のバージョンと自動更新の状態を確認しましょう。
プラグイン・テーマの更新と削除
公開される脆弱性情報を見ると、件数の大部分はWordPress本体ではなくプラグインとテーマです。本体だけ最新にしても、古いプラグインが1つ残っていれば、そこから入られます。
やることは3つです。
有料テーマや海外製のプラグインは、ライセンスが切れて更新できなくなっていることがあります。購入元のアカウントがわからないまま放置されているなら、この機会に整理しましょう。
PHPのバージョン
WordPressが動くPHPも、古いままだとサポートが切れて脆弱性が修正されなくなります。WordPress公式の推奨環境はPHP 8.3以上、MySQL 8.0以上またはMariaDB 10.11以上です（2026年11月時点）。
PHPはレンタルサーバーの管理画面から切り替えられますが、古いテーマやプラグインが新しいPHPで動かないことがあります。いきなり本番で切り替えず、ステージング環境（テスト用のコピー）で確認するか、バックアップを取ってから作業してください。
---
ログイン保護：パスワードと二段階認証
パスワードとユーザー名
管理者のパスワードは、英数字と記号を混ぜた長いもの（目安として12文字以上、できればパスワードマネージャーで生成したランダムな文字列）にします。他のサービスと同じパスワードを使い回すと、別サービスから漏れた情報でログインされる「パスワードリスト攻撃」の対象になります。
ユーザー名を「admin」のままにしているなら、新しい管理者ユーザーを作って記事の投稿者を移し、古いユーザーは削除しましょう。
二段階認証
パスワードに加えて、スマホの認証アプリのワンタイムコードを求める設定です。パスワードが漏れても、それだけではログインされなくなります。WordPressの開発チームの有志が作っている「Two Factor」などのプラグインで追加できます。
ログイン試行回数の制限
短時間に何度もログインに失敗したIPアドレスを一時的にブロックします。エックスサーバーの場合、コントロールパネルの「WordPressセキュリティ設定」にログイン試行回数制限があり、初期設定でONになっています。他のサーバー会社にも似た機能があるので、まずはサーバー側の機能を確認し、なければプラグインで対応します。
アカウントの棚卸し
意外と見落とされるのが、退職した社員や、昔の制作会社のアカウントが管理者権限のまま残っているケースです。ユーザー一覧を開き、今いる人だけに絞ってください。記事を書くだけの人は「編集者」や「投稿者」の権限で十分です。
---
WAFとサーバー側の設定
WAFを有効にする
WAF（Web Application Firewall）は、SQLインジェクションやクロスサイト・スクリプティングなど、Webサイトへの典型的な攻撃パターンを検知して止める仕組みです。プラグインの脆弱性が公開されてから修正版を当てるまでの「すき間」を埋める役割もあります。
国内の主要なレンタルサーバーは、WAFを無料で提供していることが多いです。エックスサーバーではドメインごとに「WAF設定」があり、XSS対策・SQL対策・ファイル対策・メール対策・コマンド対策・PHP対策の項目を個別にONにできます。初期設定ではOFFの項目があるので、一度は画面を開いて確認してください。
注意点として、WAFは正常な操作を攻撃と誤判定することがあります。有効化したあと「記事の保存ができない」「フォームが送れない」といった症状が出たら、該当する項目だけ一時的にOFFにして原因を切り分けます。
海外からの管理画面アクセス制限
エックスサーバーの「WordPressセキュリティ設定」には、国外IPアドレスからのダッシュボード、XML-RPC、REST APIへのアクセスを制限する機能もあります。サイトの閲覧は海外からでもできるまま、管理機能だけを国内に絞れます。海外出張先から更新する予定があるなら、その間だけOFFにしてください。
XML-RPCとファイル編集の無効化
XML-RPCは外部のアプリから記事を投稿するための古い仕組みで、パスワードの総当たりに悪用されることがあります。スマホアプリや外部連携で使っていなければ、サーバー機能やプラグインで制限して問題ありません。
また、wp-config.php に define( 'DISALLOW_FILE_EDIT', true ); を追加すると、管理画面の「テーマファイルエディター」「プラグインファイルエディター」が使えなくなります。万が一管理画面に入られても、その場でPHPファイルを書き換えられるのを防げます。
---
セキュリティプラグインの選び方
サーバー側の機能で足りない部分を、プラグインで補います。入れすぎると表示速度が落ちたり、機能が重複して不具合の原因になったりするので、役割ごとに1つずつが基本です。
| 役割 | 代表的なプラグイン | 補足 | |---|---|---| | ログイン保護（URL変更・画像認証・ロック） | SiteGuard WP Plugin | 国産で日本語の設定画面。サーバーにWAFがない場合の補助にも | | ファイアウォール・マルウェアスキャン | Wordfence Security | 改ざん検知に強い。設定項目が多いので慣れが必要 | | 二段階認証 | Two Factor | 機能を絞ったシンプルな作り | | バックアップ | UpdraftPlus | 外部ストレージ（Google Driveなど）への自動保存 |
どのプラグインも、それ自体が更新されなければ逆に弱点になります。「セキュリティプラグインを入れたから安心」ではなく、他のプラグインと同じように更新を続けてください。
---
バックアップ：復元できて初めて意味がある
改ざんやランサムウェアの被害に遭ったとき、最後の頼みになるのがバックアップです。押さえるべきポイントは次のとおりです。
- ファイルとデータベースの両方を取る（記事の本文はデータベースに入っています）
- サーバーとは別の場所にも保存する。同じサーバーにしかなければ、サーバーごと被害を受けたときに使えません
- 複数世代を残す。改ざんに気づくのが遅れると、直近のバックアップもすでに改ざん済みということがあります
- 年に1回は復元を試す。「取っていたつもりが、復元できなかった」は本当によくある話です
レンタルサーバーの自動バックアップ（過去数日〜数週間分）と、プラグインでの外部保存を組み合わせるのが現実的です。
---
改ざんされたかも、と思ったら
「知らないページが増えている」「検索結果にスパムのような表示が出る」「Googleから警告メールが来た」。こうした兆候があったら、次の順で対応します。
Webサイト全体の改ざん対策や、相談先（IPA、JPCERT/CCなど）についてはWebサイトのセキュリティ対策ガイドで詳しく解説しています。
---
根本的な選択肢：静的サイトへの移行
ここまで読んで「これを全部、ずっと続けるのは無理だ」と感じた方もいると思います。正直なところ、WordPressのセキュリティは一度設定して終わりではなく、更新を続けること自体が対策です。担当者がいない会社にとっては、それが一番の負担になります。
そこでもう1つの選択肢になるのが、Next.jsなどで作る静的サイトへの移行です。静的サイトは、あらかじめHTMLファイルを生成しておき（SSG：静的サイト生成）、サーバーはそれを配るだけにする作り方です。
| 比較項目 | WordPress | 静的サイト（Next.jsの静的書き出しなど） | |---|---|---| | 管理画面・ログイン | サーバー上にある（攻撃対象になる） | 公開サーバー上にない | | データベース | 必要 | 不要 | | プラグインの更新 | 継続的に必要 | 不要（開発時の依存パッケージの管理は必要） | | 表示速度 | 構成次第。プラグインが増えると遅くなりがち | 速くしやすい | | 更新のしやすさ | 担当者が管理画面から更新できる | 制作会社に依頼、またはヘッドレスCMSを組み合わせる |
管理画面もデータベースも公開サーバーにないので、WordPressで起きる攻撃の多くはそもそも成立しません。表示速度が上がりやすく、SEOの面でもプラスに働きます（詳しくはNext.jsでSEOに強いサイトを作る方法を参照）。当社のコーポレートサイトも、Next.jsの静的書き出しで運用しています。
一方で、デメリットもはっきりあります。ブログやお知らせを社内で頻繁に更新したいなら、ヘッドレスCMSを組み合わせる必要があり、その分の費用がかかります。お問い合わせフォームなど動的な部分は外部サービスやAPIで作るため、そこには別途セキュリティ対策が必要です。「更新頻度が低く、会社案内が中心のサイト」ほど静的サイトのメリットが大きい、と考えてください。
リニューアルを検討する際の進め方はコーポレートサイトリニューアルの完全ガイドにまとめています。
---
まとめ
WordPressのセキュリティ対策は、特別な技術よりも基本の積み重ねです。
- 本体・プラグイン・テーマ・PHPを最新に保ち、使わないプラグインは削除する
- 長いパスワード、二段階認証、ログイン試行回数の制限でログインを守る
- サーバーのWAFを有効にし、海外からの管理画面アクセスを制限する
- サーバー外にも複数世代のバックアップを取り、復元を試しておく
- 保守を続けられないなら、静的サイトへの移行も検討する
Swaaabでは、Next.jsによる静的サイトへの移行を含めたWeb制作を行っています。「今のWordPressを続けるべきか、作り直すべきか」という段階のご相談も歓迎です。社内のIT利用全体のルールづくりやAI導入時のセキュリティ設計についてはAIセキュリティ対策支援でご相談いただけます。まずはお問い合わせからお気軽にどうぞ。
Written by
Swaaab編集部
広島を拠点に、AI開発・DX支援・Web制作を手がける株式会社Swaaabの編集チーム。現場で得た知見をもとに、実践的な情報を発信しています。