WordPressの脆弱性診断 更新が続いても見る所は3か所だけ
アンリミテッドアム株式会社 CEO
2026年10月の WordPress まわりは、更新が続きました。10月21日にサーバーで動く PHP の重大な脆弱性（ソフトの弱点）2 件の修正版が出て（PHP 公式 2026年10月21日）、10月28日には WordPress 7.1.4 がセキュリティの修正 13 項目を含めて公開されました（WordPress 公式 2026年10月28日）。翌29日には、問い合わせフォームのプラグイン Contact Form 7 の 6.2〜6.2.3 に、ログインしていない第三者がファイルを上げられる脆弱性があったとして、修正版 6.2.4 が出ています（セキュリティ対策Lab 2026年10月30日）。
「また更新か。どこまで追いかければいいのか」。そう感じている Web 担当の方も多いと思います。この記事は、追いかけ続ける疲れをほどくために書きました。
先に答えを言います。WordPress の脆弱性診断で見る所は 3 か所だけです。①本体とプラグインが最新か（自動アップデートになっているか）、②サーバーの PHP のバージョン、③管理画面の入口とユーザー名が外から見えていないか。ニュースを全部読む必要はありません。この 3 か所を月に 1 回見れば大丈夫です。
1か所目 本体とプラグインが最新か
最初に見るのは、WordPress の本体とプラグイン（後から足す機能）が最新のバージョンになっているかです。できれば、自動でアップデートされる設定にしておきます。
WordPress の公式の発表（WordPress 公式 2026年10月28日）でも、セキュリティの修正を含むバージョンなので、すぐに更新するよう勧めています。自動のバックグラウンド更新に対応しているサイトでは、更新が自動で始まります。公式のリリースの一覧（WordPress 公式 リリースの一覧）を見ると、2026年9月17日の 7.1.1 から10月28日の 7.1.4 まで、約 6 週間でセキュリティの修正を含むバージョンが 4 回出ています。手で追いかけるには多すぎる数です。
急ぐ理由は速さです。GMOインターネットグループの KUSANAGI のセミナー（WebTipsチャンネル@KUSANAGI 2026年7月29日公開）では、脆弱性が公表されてから攻撃が始まるまでは、早いもので 4 時間だと話されています。私の著書の第6章で紹介したとおり、このセミナーの講師は自動アップデートを原則にするよう勧め、「画面が崩れたら怒られますけども、ハッキングされる 100 倍ましだ」と話しています。
自動にできない事情があるなら、「どのくらい深刻な脆弱性が出たら、すぐ止めるか」を先に決めておいてもらいます。決める場面で会議を開いていては、間に合わないからです。
2か所目 サーバーのPHPのバージョン
2 か所目は、サーバーで動いている PHP のバージョンです。WordPress の本体やプラグインを最新にしたくても、PHP が古いと更新できないことがあります。
実際に、Contact Form 7 の 6.2 系は、WordPress 7.1 以上と PHP 8.3 以上が必要です。PHP が古いままのサーバーでは、修正版の 6.2.4 に上げられません。さらに PHP の公式の発表（PHP 公式 2026年のお知らせ）では、PHP 8.2 は 2026年12月31日にサポートが終わり、8.1 以前は開発元からのセキュリティ修正がないとされています。
PHP のバージョンは、WordPress の管理画面で確かめられます。
- 管理画面の左のメニューで「ツール」を押す
- 「サイトヘルス」を押す
- 上の「情報」を押し、「サーバー」を開く
- 「PHP バージョン」の行の数字を見る
バージョンが分かったら、サーバー会社か制作会社に「このバージョンのままで大丈夫か、上げるならいつか」を 1 通聞くだけで足ります。サイトヘルスの「ステータス」には「致命的な問題」と「おすすめの改善」も出るので、ついでに見ておいてください。
3か所目 管理画面の入口とユーザー名が、外から見えていないか
3 か所目は、外から見える情報です。攻撃者は、外から見ただけで分かる手がかりから狙います。管理画面の入口と、ログインに使うユーザー名の両方が外から分かれば、あとはパスワードを当てるだけになってしまいます。
確かめる点は次の 3 つです。
- 使っている WordPress のバージョンが、ページの中に書き出されていないか
- ログインに使うユーザー名が、外から一覧で見られないか
- 管理画面のログインに、パスワードだけでなく 2 段階認証を設定しているか
VibeGuard の無料診断では、ページから分かる範囲で WordPress や PHP のバージョンを読み取り、バージョンが外から見えていないか、古いバージョンや既知の弱点がないかを確かめます。ユーザー名が外から一覧できないかの確認は、スポット診断（1 回 98,000 円・税別）とエキスパート（月 9,800 円・税別）で行います（2026年11月3日に料金のページで確認）。
3か所を月に1回見る表
| 見る所 | どこで見るか | 問題があったら |
|---|---|---|
| 本体とプラグインが最新か | 管理画面の「ダッシュボード」→「更新」 | 自動アップデートの設定を制作会社に頼む |
| サーバーの PHP のバージョン | 「ツール」→「サイトヘルス」→「情報」→「サーバー」 | サーバー会社に上げられるかを聞く |
| バージョン・ユーザー名・2 段階認証 | 無料診断の結果と、管理画面のログインの設定 | 結果の名前を制作会社に転送する |
毎月 1 回、決まった日にこの表を上から見るだけです。ニュースを追いかけなくても、表の 3 か所が整っていれば、10 月のような更新の続く月でも慌てずに済みます。
今日やること
- WordPress の管理画面で「ツール」→「サイトヘルス」→「情報」→「サーバー」を開き、PHP のバージョンを書き留める
- そのバージョンをサーバー会社か制作会社に送り、上げる必要があるかを 1 通で聞く
- 会社のドメインのメールアドレスで、無料診断を 1 回申し込む
よくある質問
自動アップデートにすると、画面が崩れませんか？
崩れることはあります。それでも、自動アップデートを原則にするのがおすすめです。崩れた画面は直せますが、乗っ取られたサイトの後始末は桁違いに大変です。プラグインを必要なものに絞り、見た目の手直しを決められたやり方で入れておくと、崩れにくくなります。
Contact Form 7 を更新しようとしたら、できませんでした。
Contact Form 7 の 6.2 系は、WordPress 7.1 以上と PHP 8.3 以上が必要です。サーバーの PHP が古いと更新できません。サイトヘルスで PHP のバージョンを確かめ、サーバー会社か制作会社に PHP を上げられるかを聞いてください。
サイトヘルスに「致命的な問題」が出ています。どうすればいいですか？
出ている文をそのまま制作会社に転送して、直してもらってください。サイトヘルスは WordPress に入っている点検の機能で、「致命的な問題」と「おすすめの改善」を分けて表示します。まず「致命的な問題」から片付けます。
WordPress のユーザー名が外から見えるかは、無料で確かめられますか？
VibeGuard の無料診断では、WordPress のバージョンが外から見えているかまでを確かめます。ユーザー名が外から一覧できないかの確認は、スポット診断（1 回 98,000 円・税別）とエキスパートで行います（2026年11月3日時点）。
3 か所のうち、外から見える所は、会社のドメインのメールアドレスで申し込むVibeGuard の無料診断で確かめられます。毎日の点検を任せたくなったら、料金のページでプランを見比べてください。最初にやることの全体は、何から手をつけるか分からない社長への記事にまとめています。
書いた人: 江藤正親（アンリミテッドアム株式会社 CEO）。セキュリティ診断サービス VibeGuard を運営。著書『情報漏洩・ランサムウェアから会社を守る 経営者が今すぐやること』。
出典
この記事を書いた人
アンリミテッドアム株式会社 CEO
大学卒業後、送電線建設会社、コンサル会社、メーカーと転職の後に独立。
1998年よりECスタートし、独立系ECコンサルタントとしては日本最古。
1999年よりネットショップ運営に携わり、立ち上げ1年半で月商4500万円を達成。3年連続楽天総合3位。200社を立ち上げから年商1億円以上に導く。
最高年商10億円。商品開発からシステム開発、広告プロモーションとEC経営とシステム開発にまつわる業務に精通し、運営も行う。
サポート企業は延べ1000社を超え17名のEC関連本の著者を輩出。
自ら著書3冊を持ち、新聞、雑誌など各メディアに寄稿。
2013年設立した一般社団法人ジャパンEコマースコンサルタント協会は、最新の日本と海外最新事例をECコンサルタントにアップデートしている。
2017年には、早稲田大学主幹の一般社団法人日本イーコマース学会を設立、大学にECのカリキュラムを構築。
直近では、多くのシステム開発を要件定義から開発、納品まで、直接クライアントとやりとりし、請け負っている。
著書『情報漏洩・ランサムウェアから会社を守る 経営者が今すぐやること』（SCS評価制度の星3に備える 中小企業のサイバーセキュリティ対策）