WordPressセキュリティ診断：自社で確認する12項目と脆弱性情報の調べ方

WordPressで作った会社のホームページについて、「セキュリティ診断を受けたほうがよいのか」「まず社内で何を確かめればよいのか」と迷っている担当者の方に向けた記事です。制作会社との契約が終わって管理する人がはっきりしないサイトの点検や、改ざんの報道を見て不安になったときの確認にも使えます。

結論から書くと、WordPressのセキュリティ診断は、まず管理画面とサーバーの管理画面で確かめられる項目を自社で点検し、使っているプラグインに公開済みの脆弱性がないかを公的な情報源で照らし合わせるところから始めます。会員のログインや独自に開発した機能など、利用者の入力を受け付ける仕組みが多いサイトは、そのうえで専門の事業者による脆弱性診断を検討します。

この記事では、自社で使える12項目のチェック表、WordPress公式やJVNで脆弱性情報を調べる手順、外部に診断を頼む場合の範囲の違いを説明します。扱うのは守る側の確認だけで、攻撃の方法は扱いません。内容は2026年11月11日時点で確認した公式の情報にもとづいています。

WordPressのセキュリティ診断とは：自社の点検と脆弱性診断の違い

「セキュリティ診断」という言葉は、広い意味で使われています。管理画面で更新の状況や設定を確かめる社内の点検も、専門の事業者が検査用の通信を送って弱点を探す脆弱性診断も、同じ言葉で呼ばれることがあります。依頼や社内への報告で行き違いが起きないよう、どの段階の確認なのかを分けて考えます。

経済産業省の情報セキュリティサービス基準（第4.1版）は、脆弱性診断サービスを「Webアプリケーション脆弱性診断」「プラットフォーム脆弱性診断」「スマートフォン／タブレット端末アプリケーション脆弱性診断」に分けています。一方で、WordPressのサイトには、専門の検査をしなくても確かめられる基本の項目があります。WordPress公式のHardening WordPress（WordPressの安全性を高める）も、本体とプラグインを常に最新に保つこと、使っていないプラグインは削除することを挙げています。

IPA（情報処理推進機構）の安全なウェブサイトの運用管理に向けての20ヶ条にも、「ウェブアプリケーションを構成しているソフトウェアの脆弱性対策を定期的にしていますか？」「不要なアカウントが登録されていませんか？」「定期的にセキュリティ検査（診断）、監査していますか？」といった項目があります。この記事では、まず自社でできる点検を済ませ、足りない部分を外部に頼む順番で進めます。対策そのものの優先度はWordPressのセキュリティ対策チェックリストで整理しているので、ここでは「今の状態をどう確かめるか」に絞ります。

点検の前に用意するものと注意点

見る画面によって必要な権限が違うため、先に次のものをそろえます。

• WordPressの管理者アカウント：更新の状況やユーザーの一覧は、管理者の権限がないと見られない画面があります。
• サーバーの管理画面に入るための情報：PHPのバージョン、バックアップ、WAFの設定はサーバー側で確かめます。
• 保守契約の内容：制作会社や保守会社と契約している場合は、どこまでが先方の作業範囲かを確かめます。社内で設定を変えると、保守の作業と食い違うことがあります。
• 記録用の表：確認した日、項目、結果、対応した人を残します。次回の点検や、外部に頼むときの説明に使えます。

自社でできる確認項目のチェック表（12項目）

次の表は、WordPressの管理画面とサーバーの管理画面で確かめられる項目です。上から順に確認すると、更新の遅れ、不要なもの、ログインの守り、復旧の備えの順に状態が分かります。

表の目安は公式の情報をもとにしています。WordPress公式のBrute Force Attacks（総当たり攻撃への対策）のページは、管理者など権限の強いユーザーに二段階認証を使うこと、ユーザー名に「admin」を使わないことを挙げています。同じページは、二段階認証はWordPress本体に含まれていないため、プラグインなどで追加するとしています。ログインの試行回数の制限は、サーバーやCDNの側で制限できない場合に、セキュリティ系のプラグインで行う方法として紹介されています。

PHPは、WordPress公式の動作環境のページが8.3以上を推奨しています。PHPの開発元が公開しているサポート中のバージョンの一覧では、PHP 8.2のセキュリティサポートは2026年12月31日までです。バージョンごとの期限と切り替えの手順はPHPのサポートはいつまで？で説明しています。

バックアップについて、WordPress公式のBackups（バックアップ）のページは、データベースとファイルの2つが必要であること、投稿の少ない小規模なサイトは週1回、更新の多いサイトは毎日を目安にすること、直近の3〜5回分を別々の場所に保管することを挙げています。保管の決め方はサーバーのバックアップと復元、ログイン画面の制限はWordPress管理画面のIP制限、WAFの設定と誤検知の対処はWAFとはで説明しています。

「サイトヘルス」で設定の状態を確かめる

WordPressには、サイトの状態を自動で確かめる「サイトヘルス」という機能があります。管理画面の「ツール」→「サイトヘルス」で開きます。WordPress公式のサイトヘルス画面の説明によると、「ステータス」タブでは結果が「致命的な問題」「おすすめの改善」「問題のない項目」に分けて表示されます。致命的な問題は、潜在的なセキュリティ上の脆弱性や深刻なパフォーマンスの問題につながるおそれがある項目です。

確かめられる主な内容は、PHPのバージョンが古くないか、プラグインに更新が出ていないか、バックグラウンドの自動更新が正しく動いているか、エラーの内容が訪問者に表示される設定になっていないか、などです。「情報」タブでは、HTTPSを使っているか、停止中のテーマやプラグイン、それぞれの自動更新の設定を一覧で見られます。停止中のテーマは、使う予定がなければ削除するよう案内されています。

ただし、サイトヘルスは設定や環境の状態を確かめる機能です。入っているプラグインに公開済みの脆弱性があるかどうかを一つずつ照らし合わせるものではありません。その確認は、次の章で紹介する情報源で行います。

自動更新の設定も確かめる

プラグインとテーマの自動更新は、WordPress 5.5から管理画面で1つずつ有効にできるようになりました。WordPress公式の自動更新の説明によると、自動更新は標準で1日2回実行され、更新の成功や失敗はサイトの管理者にメールで知らされます。自動更新を使うかどうかは、更新で表示が崩れるリスクとの兼ね合いで決めます。使う場合は、通知のメールが社内の誰に届くかも確かめておきます。

公開されている脆弱性情報の調べ方

脆弱性情報を調べる目的は、自社のサイトで使っているソフトウェアとそのバージョンが影響を受けるかどうか、どのバージョンに更新すれば直るかを知ることです。攻撃の仕組みを詳しく知る必要はありません。見るのは「影響を受けるバージョン」と「対策の方法」の2つです。

WordPress本体：公式の発表を確かめる

WordPress本体の脆弱性の修正は、WordPress.orgのニュースでリリースとして発表されます。たとえば2026年10月28日に公開されたWordPress 7.1.4はセキュリティリリースで、公式の発表はサイトをすぐに更新するよう勧めています。リリースの一覧はWordPressのリリースのページで確かめられます。

古いバージョンの扱いも確認しておきます。WordPress公式のセキュリティのページは、公式にサポートするのは最新版だけで、古いバージョンへの修正は「厚意として（as a courtesy）」行っていると説明しています。サポートされるバージョンのページも、古いブランチへの修正には保証も期間の定めもないとしています。古いメジャーバージョンのまま使っている場合は、更新の計画を立てます。更新しない場合に起きる問題はWordPressを更新しないとどうなる？にまとめています。

プラグイン・テーマ：WordPress.orgのページを見る

WordPress.orgで配布されているプラグインは、プラグインのページで最終更新日や、どのWordPressのバージョンまで検証されたかを確かめられます。公式の警告表示の説明によると、最新の3つのメジャーリリースで検証されていないプラグインには、その旨の警告が表示されます。保守されていない可能性や、新しいWordPressとの互換性の問題がある可能性を示すものです。

配布が止められたプラグインには「閉鎖」の表示が出て、ダウンロードできなくなります。閉鎖の理由には、作者の申し出やガイドライン違反などのほか、「セキュリティ上の問題」があります。閉鎖されたプラグインを使い続けると修正版が出ない可能性があるため、代わりのプラグインを探すか、その機能自体が必要かを見直します。

JVN：日本の公的な脆弱性情報を調べる

JVN（Japan Vulnerability Notes）は、JPCERTコーディネーションセンターとIPAが2004年7月から共同で運営している脆弱性対策情報のポータルサイトです。脆弱性が確認された製品とバージョン、製品の開発者が提供する対策や関連情報へのリンクなどが掲載されています。WordPressのプラグインの脆弱性も、「WordPress 用プラグイン（製品名）における（脆弱性の種類）の脆弱性」という題名で公開されています。

各ページには「概要」「影響を受けるシステム」「想定される影響」「対策方法」などの項目があります。自社のバージョンが「影響を受けるシステム」に含まれるかを確かめ、含まれる場合は「対策方法」に従います。

なお、JVNのデータベースであるJVN iPediaは、2026年10月22日付のJVNのお知らせで、システムメンテナンスのためMyJVNとあわせて一時停止しており、再開時期は未定とされています（2026年11月11日時点）。JVN本体のアドバイザリは引き続き見られます。利用する前にJVNのお知らせで状況を確かめてください。

調べる手順

1. 管理画面の「プラグイン」画面と「外観」→「テーマ」で、使っているプラグインとテーマの名前とバージョンを書き出します。
2. WordPress.orgの各ページで、最終更新日と、警告や閉鎖の表示がないかを確かめます。
3. JVNでプラグインの名前を探し、該当する情報があれば「影響を受けるシステム」を読みます。
4. 自社のバージョンが当てはまれば、修正版に更新します。修正版がない場合は、停止や代わりの方法を検討します。
5. 確認した日と結果を記録に残します。

問題が見つかったときの対応の順番

点検で問題が見つかっても、一度にすべてを直そうとしないことが大切です。更新で表示が崩れたり、フォームが止まったりすることがあるためです。

1. バックアップを取る：直す前に、データベースとファイルの両方を保存します。
2. 影響の大きいものから直す：公開済みの脆弱性に当てはまるもの、閉鎖されたプラグイン、不要な管理者アカウントを先に片付けます。
3. 可能ならテスト環境で確かめる：本体やプラグインの大きな更新は、本番と同じ内容のテスト環境で表示とフォームを確かめてから本番に反映します。
4. 本番で確認する：主要なページの表示、問い合わせフォームの送信、管理画面へのログインを確かめます。
5. 記録する：何をいつ直したかを残します。

見覚えのないページやユーザーがある、サイトが別のサイトに転送される、サーバー会社から不審な動きの連絡が来た、といった場合は、点検ではなく改ざんへの対応が必要です。ホームページ改ざん・WordPress乗っ取りの対処の手順で、最初の対応を進めてください。

IPAの安全なウェブサイト運営にむけて（企業ウェブサイトのための脆弱性対応ガイド）（2021年3月）は、構築ツールなどのソフトウェアはできる限り最新版を使い、修正を当てるよう求めています。同じガイドによると、IPAはウェブサイトの脆弱性の届出を受け付けると、そのサイトの運営者に連絡して対策を促します。外部から連絡を受けたときに社内の誰が対応するかも、あらかじめ決めておきます。

外部の脆弱性診断を頼む場合の範囲の違い

自社の点検で確かめられるのは、主に設定と更新の状態です。会員のログイン、申し込みと連動した独自の仕組み、外部のシステムとの連携など、WordPressに後から追加した独自の機能がある場合は、専門の事業者による脆弱性診断を検討します。診断の種類によって、確かめる範囲が違います。

表の区分は、経済産業省の情報セキュリティサービス基準の定義に合わせています。IPAは、この基準に適合する事業者とサービスを情報セキュリティサービス基準適合サービスリストとして公開しています（2026年11月11日時点で最新の掲載日は2026年10月9日）。ただし、IPAは掲載がIPAによるいかなる保証も意味しないと明記しています。リストは候補を探す手がかりとして使います。

どの診断にも限界があります。IPAが公開しているウェブ健康診断仕様は、検査の内容を絞り込んだ診断であるため、脆弱性が検出されなかった場合でも安全宣言にはつながらないと注記しています。診断の結果は「その時点で、その範囲を確かめたもの」として受け止め、更新と点検を続けます。

依頼の前に決めておくこと

• 診断の対象（URL、画面、機能）と、対象外にするもの
• 本番の環境で行うか、テスト環境で行うか。行う日時
• サーバー会社への事前の連絡が必要か
• 報告書に書かれる内容（見つかった問題、危険度、直し方）と、直した後の再診断の有無
• 見つかった問題を直す作業を誰が行うか
• 費用は範囲で変わるため、複数の事業者に同じ範囲で見積もりを依頼する

IPAの脆弱性対応ガイドは、セキュリティについて委託先と約束したことを文書に残すよう勧めています。制作会社や保守会社に頼む場合も、診断の範囲と直す作業の分担を契約書や発注書に書いておきます。

点検を続ける頻度と体制

プラグインの更新や新しい脆弱性の公開は随時あるため、点検は頻度と担当者を決めて続けます。次は社内で決めるときの目安です。

• 毎週：管理画面で更新の有無を確かめる。自動更新の通知メールを確かめる。
• 毎月：チェック表の12項目を確かめ、使っているプラグインをWordPress.orgとJVNで調べる。
• 3か月ごと：ユーザーの一覧と権限を見直す。バックアップから戻せるかを確かめる。
• 年1回、または大きな改修の後：外部の診断が必要かを判断する。

社内で続ける人手が足りない場合は、保守を外部に任せる方法もあります。当社のWEBサイト運用保守・集客改善では、保守ライト（月20,000円〜、税別）でWordPress本体・プラグインの更新（月2回）、週次バックアップと復元、稼働監視（停止・改ざんの検知）、SSL・ドメイン期限の管理、障害時の一次対応を行います。保守スタンダード（月30,000円〜、税別）では、これに加えてログイン保護・改ざん検知・WAF設定のセキュリティ強化を行います。他社で制作したWordPressサイトの場合は、初回に現状診断（別途お見積り）を行い、更新の状況や脆弱性、バックアップの有無を確かめてから引き継ぎます。

よくあるご質問

無料の診断ツールで調べるだけでは足りませんか？

ツールで分かるのは、外から見える範囲の一部です。管理者アカウントの状態やバックアップの有無は、管理画面とサーバーの管理画面で確かめる必要があります。結果に問題が出なくても、安全が保証されるわけではありません。

セキュリティ対策のプラグインを入れていれば、点検は要りませんか？

セキュリティ対策のプラグインも、更新が必要なソフトウェアの一つです。設定によって守れる範囲も変わるため、入れているだけで点検が要らなくなるわけではありません。どの対策をサーバー側で行い、どれをプラグインで行っているかを把握しておきます。

脆弱性が公開されたプラグインに修正版が出ていない場合はどうしますか？

プラグインを停止し、必要な機能であれば代わりのプラグインや別の方法を検討します。停止しただけではファイルがサーバーに残るため、使わないと決めたら削除します。WordPress.orgのページに「閉鎖」の表示が出ている場合は、ダウンロードが止められています。

制作会社が作ったサイトを、自社で点検してもよいですか？

管理画面で状態を見るだけなら、設定は変わりません。更新や削除を行う場合は、保守契約の有無と作業範囲を先に確かめます。保守契約がある場合は、点検の結果を共有して対応を依頼すると、作業の食い違いを防げます。契約が終わっている場合は、管理情報の引き継ぎから始めます。

外部の脆弱性診断は、どのくらいの頻度で受けるべきですか？

すべての会社に当てはまる決まった頻度はありません。IPAの20ヶ条は、定期的なセキュリティ検査（診断）や監査を挙げています。独自の機能を追加したとき、大きな改修をしたとき、扱う情報が変わったときに、診断の必要と範囲を見直すのが一つの目安です。

まとめ

• WordPressのセキュリティ診断は、自社の点検、保守会社などの現状診断、専門の事業者による脆弱性診断に分けて考えます。
• まず管理画面とサーバーの管理画面で、チェック表の12項目を確かめます。
• 脆弱性情報は、WordPress.orgのリリースの発表とプラグインのページ、JVNで調べ、「影響を受けるバージョン」と「対策方法」を確かめます。
• 独自の機能があるサイトは外部の診断を検討し、対象の範囲と直す作業の分担を文書で決めます。
• 点検は頻度と担当者を決めて続け、社内で続けられない場合は保守の委託も選択肢にします。