WordPressのセキュリティ対策｜脆弱性のニュースが不安な初心者へ、制作者がやることを整理

「WordPressに深刻な脆弱性」というニュース、最近よく見かけませんか？

• WordPressでサイトを作る仕事がしたいけど、ニュースを見ると不安になる
• プログラミングやサーバーのことは分からないのに、自分で守れるのか心配
• セキュリティ対策と言われても、何からやればいいのか分からない

この記事では、WordPressのセキュリティ対策を、「誰が・何を守っているのか」から整理します。
プログラムを書かなくても、制作者がやることのほとんどは管理画面の操作でできます。順番に見ていきましょう。

• WordPressの脆弱性ニュース、仕事にして大丈夫？
• 2026年10月：PHPに深刻な脆弱性が見つかった
• WordPressの脆弱性の報告は、ほぼ毎週出ている
• 「毎週見つかる」は「毎週直されている」ということ
• 誰が、何を守っているの？
• WordPressのサイトは、3つの層でできている
• PHPは、レンタルサーバー会社が直してくれる
• 本体・テーマ・プラグインは、制作者が更新する
• 制作者がやること①：更新する
• 本体のセキュリティ修正は、自動で入る
• メジャーアップデートの前に：テーマの配布ページで対応バージョンを見る
• メジャーアップデートの前に：Local（開発環境）で先に試す
• テーマ・プラグインの更新と、自動更新の設定
• サイトヘルスで、PHPのバージョンを確認する
• 制作者がやること②：入れるもの・ログイン・バックアップ
• プラグインは少なく、更新が続いているものを選ぶ
• 推測されにくいユーザー名と、強いパスワード
• もしものためのバックアップ
• セキュリティ対策にはプラグインも活用しよう
• プラグインとは？入れ方も見てみよう
• セキュリティ対策に使われている定番プラグイン
• WordPressを仕事にしても大丈夫？

WordPressの脆弱性ニュース、仕事にして大丈夫？

2026年10月：PHPに深刻な脆弱性が見つかった

脆弱性（ぜいじゃくせい）とは、プログラムの中にある「弱点」のことです。
弱点を突かれると、サイトを書きかえられたり、中の情報を盗まれたりするおそれがあります。

2026年10月21日、PHP（ピーエイチピー）というプログラムの言語に、深刻な脆弱性が2つ見つかり、直した版が公開されました。
PHPは、WordPressを動かしているプログラムの言語です。WordPressを置くサーバーの中に入っています。

今回の脆弱性は、ログインしなくても、外からサーバーの中のプログラムを動かされるおそれがあるものでした。
深刻さを表す点数（CVSSという10点満点のものさし）は9.2で、いちばん上の「緊急」のランクです。
WordPressだけでなく、PHPで動いているサイト全部にかかわる話だったので、大きなニュースになりました。

• 参考：PHP、重大な脆弱性2件を修正（gihyo.jp）

WordPressの脆弱性の報告は、ほぼ毎週出ている

WordPressそのものについても、脆弱性の報告はほぼ毎週出ています。
たとえば、マイナビニュースでは、WordPressの脆弱性の情報を1週間ごとにまとめた連載が続いています。1週間で10件以上見つかることも、めずらしくありません。

• 参考：WordPressプラグイン・テーマの脆弱性最新情報（マイナビニュース TECH+）

報告のほとんどは、プラグインやテーマ（WordPressにあとから足す機能や見た目）の脆弱性です。
ただ、WordPress本体に見つかることもあります。2026年7月には、本体に深刻な脆弱性が見つかり、実際に攻撃も確認されました。

こんなに毎週ニュースが出ていると、「WordPressって危ないのでは？」と思ってしまいますよね。

「毎週見つかる」は「毎週直されている」ということ

でも、見方を変えると、ちがう姿が見えてきます。

WordPressは、世界のWebサイトの約4割で使われています。
使っている人が多い分、狙われやすくもありますが、弱点を探して、直す人もたくさんいます。
脆弱性が見つかると、多くの場合は、ニュースになるころには直した版がもう公開されています。

つまり、危ないのは「WordPressを使っていること」ではなく、「直した版が出ているのに、更新していないこと」です。
攻撃する人は、古いままのサイトを自動で探して回っています。

この記事では、次のことを見ていきます。

• WordPressのサイトは、誰が・何を守っているのか
• 制作者がやること（更新／入れるもの・ログイン・バックアップ）
• セキュリティ対策に使えるプラグイン
• WordPressを仕事にしても大丈夫なのか

誰が、何を守っているの？

WordPressのサイトは、3つの層でできている

WordPressのサイトは、大きく分けると、次の3つの層が重なってできています。

賃貸マンションにたとえると、分かりやすいかもしれません。
建物や水道・電気の設備は、管理会社が直してくれます。でも、部屋のカギをかけたり、部屋の中を片づけたりするのは、住んでいる人の役目ですよね。

PHPは、レンタルサーバー会社が直してくれる

10月のPHPの脆弱性は、いちばん下の「サーバー・PHP」の層の話です。
ここは、レンタルサーバー会社が直してくれます。制作者が自分でPHPを直す必要はありません。

日本の主なレンタルサーバーは、今回の脆弱性にほぼ対応済みです。
気になる人は、使っている（使う予定の）レンタルサーバーの「お知らせ」や「障害・メンテナンス情報」のページを見てみてください。

制作者がやることは、サポートが続いているPHPのバージョンを選んでおくことです。
古いバージョンのPHPは、脆弱性が見つかっても直した版が出ません。確かめ方は、このあと「サイトヘルス」のところで紹介します。

本体・テーマ・プラグインは、制作者が更新する

一方、WordPress本体とテーマ・プラグインは、サイトを管理する人（制作者）の担当です。
レンタルサーバー会社は、サイトの中に何が入っているかまでは面倒を見てくれません。

「えっ、それは難しそう…」と思うかもしれませんが、安心してください。
ここでやることのほとんどは、管理画面のボタンを押すだけです。

制作者がやること①：更新する

本体のセキュリティ修正は、自動で入る

WordPress本体の更新には、2つの種類があります。

マイナーアップデートは、最初の設定のままで自動で入ります。
7月の本体の脆弱性も、直した版（7.0.2など）が出たあと、WordPressの公式チームが自動更新で一斉に直しました。
つまり、本体のセキュリティ修正は、何もしなくても入るようになっています。

では、メジャーアップデートはどうでしょうか。
新しく作ったサイトでは、メジャーアップデートも最初から自動で入る設定になっています。
どちらになっているかは、管理画面の「ダッシュボード」→「更新」で確かめられます。

• 「このサイトは WordPress の新しいバージョンごとに自動的に最新の状態に保たれます。」：メジャーもマイナーも自動
• 「このサイトは WordPress のメンテナンスリリースとセキュリティリリースのみで自動的に最新の状態に保たれます。」：マイナーだけ自動。メジャーは自分で更新する

表示の下のリンクをクリックすると、もう一方の設定に切りかえられます。
たとえば「メンテナンスリリースとセキュリティリリースのみの自動更新に切り替えます。」をクリックすると、次のように変わります。

前から使っているサイトや、レンタルサーバーで作ったサイトでは、設定がちがうこともあるので、一度見ておきましょう。

メジャーアップデートの前に：テーマの配布ページで対応バージョンを見る

メジャーアップデートは、少しだけ気をつけます。
WordPressの仕組みが変わるので、テーマが新しいWordPressに追いついていないと、表示がくずれたり、エラーが出たりすることがあるからです。

配布されているテーマを使っているなら、まずは配布ページで、テーマの更新の様子と、必要なバージョンを見ましょう。

• 無料のテーマ：WordPress公式のテーマのページ（WordPress.org テーマディレクトリ）で、「最終更新日」（①）と、「Minimum WordPress version」「Minimum PHP version」（②。そのテーマに必要なWordPressとPHPのバージョン）を見る
• 有料のテーマ：テーマの公式サイトの「お知らせ」や「更新履歴」を見る

新しいWordPressに対応したというお知らせが出てから更新すれば、安心です。
反対に、1年以上更新が止まっているテーマは、これからも直してもらえないかもしれません。乗りかえも考えましょう。

メジャーアップデートの前に：Local（開発環境）で先に試す

自分で作ったテーマ（オリジナルテーマ）には、配布ページがありません。
対応しているかを確かめるには、自分のパソコンの中のWordPress（Local）で、先に試すのがいちばん確実です。

テーマを自作する方法は、こちらの記事で解説しています。

試す流れは、次のとおりです。

1. Localに、本番のサイトと同じテーマ・同じプラグインを入れたサイトを用意する
2. Localのサイトで、WordPressを新しいバージョンに更新する
3. 表示画面と管理画面をひととおり見て、くずれやエラーがないか確かめる
4. 問題がなければ、本番のサイトも更新する

ここでは、以前の講座で自作テーマを作ったサイト（WordPress 6.9.4）で見てみます。
「ダッシュボード」→「更新」を開くと、「WordPress の新しいバージョンがあります。」と出て、7.1.4に更新するボタンが並んでいます。

更新する前に、表示画面がどうなっているかも見ておきます。
更新したあとに、同じ画面と見比べるためです。

「バージョン 7.1.4-ja に更新」をクリックして、7.1.4に更新しました。
もう一度、表示画面を見てみます。

見た目は更新する前とほとんど変わらず、エラーも出ていません。
会社概要・ブログ・お問い合わせのページも開いて、くずれやエラーがないことを確かめました。これで、本番のサイトも安心して更新できます。

ところで、更新の画面をもう一度開くと、更新する前にはなかったプラグインの更新が出てきました。

お問い合わせフォームのプラグイン「Contact Form 7」の新しい版です。
ただ、よく見ると「この更新は現在使用中の PHP のバージョンでは動作しません。」と書かれています。
WordPressやプラグインが新しくなると、PHPも新しいバージョンが必要になることがあるのです。PHPのバージョンの確かめ方は、このあとの「サイトヘルス」のところで見ていきます。

エラーが出たら、AIに見てもらう

試してみてエラーが出ても、あわてなくて大丈夫です。
本番のサイトではないので、誰にも迷惑はかかりません。

画面に「このサイトで重大なエラーが発生しました。」と出たり、英語のエラーの文が出たりしたら、その文をコピーして、ClaudeなどのAIに見てもらいましょう。

AIには、次のように聞くと伝わりやすいです。（ ）の中を書きかえて使ってください。

WordPressを新しいバージョンに更新したら、自作テーマのサイトでエラーが出ました。
私はプログラミングが得意ではないので、原因と直し方を、順番に分かりやすく教えてください。
直すときは、どのファイルのどこを変えるのかも教えてください。

・WordPressのバージョン：（例：7.1.4）
・PHPのバージョン：（サイトヘルスの「情報」で確認）
・テーマ：自作テーマ
・エラーが出た場所：（例：トップページを開いたとき）
・エラーの文：
（ここに、画面に出た文をそのまま貼る）

テーマ・プラグインの更新と、自動更新の設定

テーマとプラグインにも、新しい版が出ます。
「ダッシュボード」→「更新」の画面には、本体だけでなく、更新できるテーマとプラグインもまとめて表示されます。

テーマやプラグインも、自動で更新する設定にできます。最初は自動で更新されない設定になっています。

• プラグイン：「プラグイン」→「インストール済みプラグイン」の一覧で、プラグインごとに「自動更新を有効化」をクリックする

• テーマ：「外観」→「テーマ」で、テーマをクリックして詳細を開き、「自動更新を有効化」をクリックする

自作テーマには、配布元がないので「自動更新を有効化」は出ません。自作テーマは、自分で直していくものです。

自動更新はとても便利ですが、まれに、更新のあとで表示がくずれることもあります。
お客さんのサイトを作る仕事では、誰が・いつ更新するのかを、納品のときに決めておくと安心です（このあとの「仕事にしても大丈夫？」でもう少しお話しします）。

サイトヘルスで、PHPのバージョンを確認する

さきほどの「PHPのバージョンでは動作しません」が出たら、PHPのバージョンを確かめましょう。
WordPressの「ツール」→「サイトヘルス」（サイトの健康診断のような画面）で、「情報」のタブ →「サーバー」を開くと分かります。

PHPには、公式のサポートが続いているバージョンと、終わったバージョンがあります。
2026年11月の時点では、8.2以降がサポート中です（8.2は2026年の年末まで。これから選ぶなら、8.3以降が安心です）。最新の状況は、PHPの公式サイトの「サポートしているバージョン」（英語）で見られます。

PHPのバージョンは、次の場所で変えられます。

• Local：Localのアプリの、サイトの画面（サイトダッシュボード）で選ぶ
• レンタルサーバー：サーバーの管理画面で選ぶ（メニューの場所は、サーバーの会社によってちがいます）

もう一度サイトヘルスを確認すると、PHPのバージョンが8.2.27から8.5.1に変わりました。

Localではなく、公開しているサイトの場合は、レンタルサーバーの管理画面で似たような操作を行います。
たとえば、さくらのレンタルサーバでは、「サーバーコントロールパネル」の「スクリプト設定」→「言語バージョン設定」で変えられます。手順は、公式のサポートページで画面つきで解説されています。

• PHPのバージョンを変更したい（さくらのレンタルサーバ サポート）

ほかのレンタルサーバーでも、「（サーバーの名前） PHP バージョン 変更」で検索すると、公式の手順が見つかります。

PHPのバージョンを上げると、テーマやプラグインが動かなくなることもあります。本体の更新と同じく、先にLocalで試してから、本番を変えましょう。

制作者がやること②：入れるもの・ログイン・バックアップ

プラグインは少なく、更新が続いているものを選ぶ

脆弱性の報告のほとんどは、プラグインやテーマでした。
つまり、プラグインを入れるほど、弱点が入りこむ入り口も増えるということです。

プラグインを選ぶときは、次の3つを意識しましょう。

• 本当に必要なものだけ入れる：「便利そう」で入れない
• 更新が続いているものを選ぶ：プラグインのページで、「最終更新日」（①）「有効インストール数」（②）「検証済み最新バージョン」（③。どのWordPressのバージョンまで動作を確かめたか）を見る
• 使わなくなったら、停止ではなく削除する：停止しただけでは、プラグインのファイルはサーバーに残っています

使っていないテーマも同じです。今使っているテーマのほかに、予備として1つだけ残して、あとは削除しておくと安心です。

推測されにくいユーザー名と、強いパスワード

WordPressの管理画面は、ユーザー名とパスワードでログインします。
「admin」やサイトの名前のような、すぐに思いつくユーザー名は避けましょう。攻撃する人は、よくある名前とパスワードの組み合わせを、機械で何度も試してきます。

パスワードは、WordPressに作ってもらうのがかんたんです。
「ユーザー」→「プロフィール」を開き、「新しいパスワードを設定」（①）をクリックすると、長くて推測されにくいパスワードが作られます（②）。
このパスワードを控えてから、画面のいちばん下の「プロフィールを更新」をクリックすると、新しいパスワードに変わります。

もしものためのバックアップ

ここまでの対策をしても、「絶対に安全」にはなりません。
そこで、何かあっても元に戻せるように、バックアップを取っておくことが大切です。

• レンタルサーバーの自動バックアップ：多くのレンタルサーバーに、サーバーごと自動で保存してくれる機能があります
• プラグインでのバックアップ：決まった日時に、記事・画像・設定をまとめて保存できます

バックアップは、サーバーの外（クラウドのストレージなど）にも保存しておくと、サーバーごと被害を受けたときにも戻せます。
また、バックアップは「戻せて」はじめて意味があります。一度、Localで戻す練習をしておくと安心です。

セキュリティ対策にはプラグインも活用しよう

プラグインとは？入れ方も見てみよう

プラグインは、WordPressにあとから機能を足すためのパーツです。
最初から入っている機能に、必要なものだけを選んで足せます。セキュリティ対策の機能も、プラグインで足せます。

入れ方を、Localのサイトで見てみましょう。
ここでは、日本語の画面で使える「SiteGuard WP Plugin」を例にします。

1. 左のメニューの「プラグイン」→「プラグインを追加」（①）をクリックします
2. 右上の「プラグインの検索」（②）に「SiteGuard」と入れます

1. 検索結果に「SiteGuard WP Plugin」（①）が出たら、「今すぐインストール」（②）をクリックします

1. インストールが終わると、ボタンが「有効化」に変わるので、クリックします

「プラグインを有効化しました。」と出て、インストール済みプラグインの一覧に並べば完了です（②）。
インストールしただけでは動かず、有効化してはじめて動く、と覚えておきましょう。

セキュリティ対策に使われている定番プラグイン

セキュリティ対策によく使われているプラグインを、役割ごとに紹介します。
どれも無料で使い始められます。設定の方法は、それぞれの公式ページを見てください。

ひとつ注意があります。同じ役割のプラグインは、2つ以上入れないようにしましょう。
機能がぶつかって、うまく動かなくなることがあります。

ログインを守る：SiteGuard WP Plugin など

サイト全体を見張る：Wordfence Security・All-In-One Security（AIOS）など

2段階認証：Two Factor など

バックアップ：UpdraftPlus など

WordPressを仕事にしても大丈夫？

ここまで見てきたことを、もう一度整理しましょう。

• PHP（サーバー）は、レンタルサーバー会社が直してくれる
• WordPress本体のセキュリティ修正は、自動で入る
• メジャーアップデートは、テーマの対応を確かめて、Localで試してから
• プラグインは少なく、ログインは強く、バックアップは外にも

どれも、プログラムを書かなくてもできることです。
WordPressを仕事にしても大丈夫。大事なのは、「作って終わり」にしないことです。

実は、お客さんの多くは、納品されたあとのサイトを自分で更新できません。
そこで、更新やバックアップ、見張りを月ごとに引き受ける「保守」という仕事があります。
この記事でやったことは、そのまま保守の仕事の中身です。セキュリティ対策を身につけると、作るだけでなく、守ることでも頼られる制作者になれますよ。