WordPress のプラグインは、お問い合わせフォームや予約、バックアップなどの機能を手軽に足せる一方で、作った人が違うぶん、弱点（脆弱性）の出方も更新の速さもまちまちです。古いプラグインは、サイトへの攻撃の入口として狙われます。
この記事では、入れているプラグインに弱点がないかの確かめ方と、見つかったときの対処を、WordPress 公式の説明と 2026 年の実例で整理します。
なぜプラグインが狙われるのか
WordPress 公式ハンドブックの「WordPress の安全性を高める」は、よくある攻撃として、古いプラグインやソフトの特定の弱点を突くように細工した通信をサーバーに送るものを挙げています。そのうえで、プラグインを常に最新にし、使っていないプラグインは消すこと、入手元を WordPress.org の公式ディレクトリかよく知られた会社に限ることを勧めています。
弱点がないかを確かめる
- 管理画面の「プラグイン」を開き、更新が出ているものを確かめる。WordPress 公式の「プラグインの管理」は、最新の WordPress 本体が出てから更新されていないプラグインは、対応していないか対応が分からないことがあるとしている
- WordPress.org のプラグインのページに、赤い背景で「This plugin has been closed and is no longer available for download.」と出ていないかを見る。閉鎖の理由には「Security Issue（セキュリティの問題）」もあり、詳しい理由は WordPress.org のセキュリティチームと作者以外には原則として明かされない
- JVN（JPCERT/CC と IPA が共同で運営する、国内で使われるソフトの脆弱性情報のサイト）の「JP 一覧」で、「WordPress用プラグイン」と入れているプラグインの名前を探す。レポートには、影響を受けるバージョンと対策（多くは最新版への更新）が書かれている
- 大事なプラグイン（フォーム・予約・決済・バックアップなど）は、開発元のお知らせやブログも見る
なお、JVN の脆弱性データベース「JVN iPedia」は、2026 年 10 月 22 日からシステムメンテナンスのため止まっていて、再開時期は未定です（JVN のお知らせ）。JVN 本体は通常どおり使えます。
見つかったときの対処
- 修正版が出ている バックアップを取ってから、すぐに更新します。WordPress 公式は、更新の途中で問題が起きることがあるので、プラグインを更新する前に新しいバックアップがあるか確かめるよう書いています（バックアップの取り方）。
- 修正版がない・開発が止まっている 「停止」してから「削除」し、同じ役割の、更新が続いている別のプラグインに置き換えます。止めただけではファイルはサーバーに残るので、使わないなら消します。
- すでに入られた形跡がある 見覚えのない管理者ユーザーやプラグイン、ページがないかを確かめ、入られる前のバックアップから戻します。パスワードも変えます。
自動更新も使えます。WordPress 公式の「プラグインとテーマの自動更新」によると、プラグインの一覧で 1 つずつ自動更新を有効にでき、標準では 1 日 2 回実行されます。ただし、有効にする前に、うまくいかなかったときに前の状態へ戻せるようにしておくよう勧めています。
2026 年の実例
- UpdraftPlus の開発元への不正アクセス（10 月） バックアップ用プラグイン UpdraftPlus の開発元 TeamUpdraft は、10 月 17〜18 日に自社サイトへの不正アクセスを確認し、遠隔管理（UpdraftCentral など）の接続キーが流出したと公表しました。プラグイン本体と配布物には影響がなかった一方、攻撃者はその接続を使って利用者のサイトに管理者のアカウントを作ったり、不正なプラグインを入れたりしたとしています。開発元は、古い接続を切る版（1.26.13）への更新と、プラグイン一覧（Must-Use のタブも含む）とユーザー一覧に見覚えのないものがないかの確認を呼びかけています。
- WordPress 本体の wp2shell（7 月） プラグインではなく WordPress 本体の 2 つの脆弱性の組み合わせで、管理者の権限がなくても遠隔でプログラムを実行される可能性がありました（IPA）。悪用も確認され、WordPress.org は影響する版のサイトに強制的に自動更新をかけました。それでも IPA は、環境によっては自動更新が効いていなかったり失敗していたりする可能性があるとして、版を確かめるよう呼びかけています。
ほかの出来事は 「最近のサイバー攻撃と対策」 に新しい順にまとめています。
日頃の点検
月に 1 回くらい、次を確かめます（この記事での整理）。
- プラグインとテーマに更新が出ていないか。出ていればバックアップのあとに更新する
- 使っていないプラグイン・テーマが残っていないか。あれば削除する
- 長く更新されていない、または WordPress.org で閉鎖されたプラグインがないか。あれば置き換えを検討する
- ユーザー一覧に見覚えのない管理者がいないか
- サーバーの PHP がサポート期間内のバージョンか（確かめ方）
この点検を続ける体制づくりは 「ホームページの保守」 で整理しています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、プラグインの更新と点検を、公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
