WordPress の脆弱性の確認方法。本体・プラグインを自分で調べる手順

WordPress の脆弱性（プログラムの弱点で、悪用されると改ざんや情報漏えいにつながるもの）は、本体だけでなく、プラグイン・テーマ・サーバーの PHP など、HPを動かすさまざまな部品で見つかります。部品ごとに作っている人が違うため、更新の出るタイミングも、情報の載る場所も異なります。

確認の手順を把握すると、自社の WordPress に今すぐ対処が要るのか、次の保守で直せばよいのかを迷わず判断できます。脆弱性の確認は、「自社のバージョン」と「公式の脆弱性情報」を照らし合わせる作業で、専門の道具がなくても管理画面から始められます。

本記事では、確認方法の早見表、脆弱性が見つかる場所、自社の WordPress を確かめる5STEPをまとめています。さらに、結果の判断表と、脆弱性が見つかったときにやること、よくある誤解も紹介します。

WordPress の脆弱性を確認する方法【早見表】

WordPress の脆弱性の確認方法は、本体・プラグイン・テーマのバージョンを管理画面で控え、公式の脆弱性情報と照らし合わせることです。脆弱性は特定のバージョンにだけあり、修正版に更新すればふさがるため、まず自社のバージョンを知ることが出発点になります。

ここでは、確かめる対象ごとに、管理画面で見る場所と照らし合わせる先を早見表で示します。

確かめる対象	管理画面で見る場所	照らし合わせる先
WordPress 本体	「ダッシュボード」→「更新」	WordPress.org のリリース情報
プラグイン	「プラグイン」→「インストール済みプラグイン」	WPScan の脆弱性データベース・JVN・プラグインの更新履歴
テーマ	「外観」→「テーマ」	WPScan の脆弱性データベース・JVN・テーマの販売元
設定・PHP	「ツール」→「サイトヘルス」	サイトヘルスの「ステータス」の表示

※2026年10月時点・WordPress.org、WPScan、JVN の公式サイトより

確認は、自社のサイトの管理画面で行ってください。管理画面に入れない場合は、先にログイン情報を持っている制作会社や保守会社に確かめます。

WordPress の脆弱性が見つかる場所（本体・プラグイン・テーマ・PHP）

WordPress の脆弱性は、本体・プラグイン・テーマ・PHP の4か所で見つかります。4か所はそれぞれ別の人や団体が作っていて、更新の出し方も、情報が公表される場所も違うためです。

ここでは、4か所の違いを表で比べます。

場所	作っている人	更新の出方	自動更新
本体	WordPress の開発チーム	WordPress.org でまとめて公表	修正版は自動で入ることが多い
プラグイン	世界中の個人・会社	作者ごとにばらばら	設定しないと入らない
テーマ	個人・会社・販売元	作者ごとにばらばら。有料テーマは販売元のサイト	設定しないと入らない
PHP	PHP の開発チーム・サーバー会社	サーバー会社が提供するバージョンを選ぶ	サーバー会社による

WordPress.org の更新画面でも、本体とは別にプラグインとテーマの更新を確かめる仕組みになっています。本体を最新にしても、プラグインやテーマが古いままなら脆弱性は残ることを前提に、4か所すべてを確かめてください。PHP は、STEP5 のサイトヘルスで確かめられます。

WordPress の脆弱性の確認を始める前に確かめること

WordPress の脆弱性の確認を始める前に、管理者のログイン情報・バックアップ・確認の記録の3つを用意しておくことが重要です。確認のあとに更新や削除の作業が続くため、準備がないと元に戻せなくなるおそれがあるからです。

ここでは、始める前に確かめることを紹介します。

【始める前の確認ポイント】

• 管理者の権限で WordPress に入れるか：プラグインやテーマの一覧は、管理者でないと見られない
• 直近のバックアップがあるか：ファイルとデータベースの両方を、更新の前に保存する
• 誰が更新を担当するか：制作会社や保守会社と契約がある場合は、作業の範囲を確かめる
• 結果を残す表を用意したか：名前・今のバージョン・最新のバージョン・脆弱性の有無を書く

ただし、他人のサイトをスキャンして脆弱性を探すことは、本記事の対象外です。確認するのは、自社のサイトか、許可を得たサイトだけにしてください。

WordPress の脆弱性を確認する手順【5STEP】

WordPress の脆弱性の確認は、バージョンの一覧を作る → 本体を照らす → プラグインとテーマを調べる → 日本語の情報を見る → サイトヘルスで仕上げる、の5STEPで進めます。最初に一覧を作っておくと、照らし合わせの作業を1回で終えられるためです。

ここでは、5つの手順を1つずつ紹介します。

【STEP1】本体・プラグイン・テーマのバージョンを一覧にする

最初に、本体・プラグイン・テーマの名前とバージョンを一覧にします。脆弱性情報は「このプラグインの、このバージョンまで」という形で公表されるため、名前だけでなくバージョンまで控える必要があります。

たとえば、「ツール」→「サイトヘルス」→「情報」タブには、WordPress のバージョン、有効・停止中のプラグインとテーマが、それぞれのバージョンと自動更新の設定とあわせて表示されます（WordPress.org）。「情報」タブには、内容をまとめて写せる機能もあるので、表に貼り付けると手間が減ります。

ただし、停止中のプラグインやテーマも一覧に入れてください。停止していてもファイルはサーバーに残っています。本体のバージョンの見方はWordPress のバージョンを確認する方法で詳しく解説しています。

【STEP2】本体を WordPress.org のリリース情報と照らす

WordPress 本体の脆弱性は、WordPress.org のリリース情報と照らし合わせて確かめます。WordPress.org は、セキュリティの修正を含む版を出すたびに、リリースの記事で修正の内容を公表しているためです。

項目	内容
最新版	7.1.3（2026年10月6日公開、セキュリティ修正7件）
7.0 系の最新の修正版	7.0.7（2026年10月6日）
公式の案内	安全に使え、積極的に保守されているのは 7.1 系の最新版だけ
古い系統への修正	対象の系統へ、必要に応じて修正を移している（バックポート）

※2026年10月時点・WordPress.org「Releases」「WordPress 7.1.3 Maintenance and Security Release」より

WordPress.org の 7.1.3 の記事では、セキュリティリリースのため、すぐに更新するよう勧められています（WordPress.org）。ただし、自動更新の設定や、サーバーの状態によっては更新が止まっていることもあるので、管理画面の「ダッシュボード」→「更新」で実際のバージョンを確かめてください。2026年7月に公表された wp2shell（CVE-2026-60137／CVE-2026-63030）の対象かどうかは、wp2shell とは。WordPress 本体の脆弱性と自社サイトの確認手順で判定できます。

【STEP3】プラグインとテーマを WPScan の脆弱性データベースで調べる

プラグインとテーマの脆弱性は、WPScan の脆弱性データベースで、名前を検索して調べられます。WPScan は、WordPress の本体・プラグイン・テーマの脆弱性を集めたデータベースで、Automattic（WordPress.com を運営する会社）の取り組みとして公開されています（WPScan）。

調べ方は、以下のとおりです。

1. WPScan のサイトで「Plugins」か「Themes」を開く
2. STEP1 の一覧にあるプラグインやテーマの名前で検索する
3. 見つかった脆弱性の「影響を受けるバージョン」と「修正されたバージョン」を、自社のバージョンと比べる

たとえば、脆弱性の修正版が 2.5.1 で、自社が 2.4.0 を使っていれば、更新が必要です。ただし、名前が似た別のプラグインもあるため、作者名やプラグインのページのURLで同じものか確かめてください。

【STEP4】JVN で日本語の脆弱性情報を見る

JVN（Japan Vulnerability Notes）は、JPCERT/CC と IPA が運営する、日本語の脆弱性情報のサイトです。日本で開発されたプラグインやテーマの脆弱性は、JVN の脆弱性レポートで公表されることがあります。

たとえば、国内の会社が作ったプラグインやテーマを使っている場合は、JVN の脆弱性レポートの一覧で、製品名が載っていないかを見ます。ただし、JVN の脆弱性データベース「JVN iPedia」は、2026年10月22日からシステムメンテナンスのため一時停止しており、再開時期は未定と案内されています（JVN）。JVN の脆弱性レポートは通常どおり見られます。

【STEP5】サイトヘルスの「ステータス」で残りを確かめる

最後に、「ツール」→「サイトヘルス」の「ステータス」タブで、設定と PHP の問題を確かめます。サイトヘルスの「ステータス」は、セキュリティ上の弱点や大きな性能の問題になりうる「致命的な問題」と、直したほうがよい「おすすめの改善」に分けて表示されるためです。

【「致命的な問題」に出る項目の例】

• 古い PHP で動いている
• 更新を待っているプラグインがある
• 自動更新（バックグラウンド更新）が動いていない
• 訪問者にエラーを表示する設定になっている

※WordPress.org「Site Health screen」より

上記の項目が出ていれば、STEP2〜4 の結果とあわせて、次の判断表に当てはめてください。

WordPress の脆弱性の確認結果の判断表

WordPress の脆弱性の確認結果は、「修正版があるか」と「悪用が始まっているか」で急ぎ度が決まります。修正版があれば更新でふさげますが、修正版がない場合は、使うのをやめる判断が必要になるためです。

ここでは、確認の結果ごとの判断と、次にやることを表で紹介します。

確認の結果	判断	次にやること
本体・プラグイン・テーマがすべて最新、脆弱性の情報なし	問題なし	確認した日付を記録し、定期的に繰り返す
脆弱性があり、修正版が出ている	更新が必要	バックアップを取り、修正版に更新する
脆弱性があり、悪用が報告されている	すぐ対処	更新に加えて、改ざんの痕跡がないか確かめる
脆弱性があり、修正版が出ていない	使い続けるか判断が必要	停止・削除・入れ替えを検討する
プラグインの更新が長く止まっている	入れ替えを検討	代わりのプラグインを探す
サイトヘルスに古い PHP の表示	計画して対処	サーバーの PHP を上げる準備をする

更新が長く止まったプラグインの見分け方は、更新が止まった WordPress プラグインの見分け方と、代わりの探し方にまとめています。

WordPress に脆弱性が見つかったときにやること

WordPress に脆弱性が見つかったら、修正版があるかどうかで、やることを分けます。修正版があれば更新で直せますが、修正版がなければ、そのプラグインやテーマを使い続けるかどうかを決める必要があるためです。

ここでは、2つの場合に分けて、やることを紹介します。

修正版があるときは、バックアップを取ってから更新する

修正版があるときは、バックアップを取ってから、修正版に更新します。更新でプラグイン同士がぶつかり、画面が崩れることもあるため、元に戻せる状態を先に作る必要があるからです。

更新の手順は、以下のとおりです。

1. ファイルとデータベースのバックアップを取る
2. 「ダッシュボード」→「更新」で、本体・プラグイン・テーマを更新する
3. トップページ・問い合わせフォーム・よく見られるページの表示と動きを確かめる
4. 悪用が報告されている脆弱性なら、知らない管理者や不審なファイルが増えていないか確かめる

ただし、有料のテーマやプラグインは、販売元のサイトから更新ファイルを入手する必要がある場合があります。自動更新の設定の見直しはWordPress の自動更新はオンにすべき？で解説しています。

修正版がないときは、停止・削除・入れ替えを検討する

修正版がないときは、そのプラグインやテーマを停止するか、削除して別のものに入れ替えることを検討します。修正版が出るまでのあいだも、脆弱性は公表された状態で残るためです。

選択肢	向いている場合	注意
停止する	機能がなくても困らない	ファイルは残るので、早めに削除する
削除する	使っていない	設定やデータが消えることがある
入れ替える	同じ機能が必要	入れ替え前にテスト環境で試す
修正版を待つ	作者が修正の予定を公表している	待つあいだの対策を専門家と決める

問い合わせフォームのように止めると業務に響くプラグインは、入れ替え先を決めてから作業してください。

WordPress の脆弱性の確認でよくある誤解

WordPress の脆弱性の確認では、「本体を更新すれば大丈夫」「無料の診断で問題がなければ安全」といった誤解がよくあります。誤解したまま確認を終えると、残った脆弱性に気づかないためです。

ここでは、よくある誤解と実際を表で紹介します。

よくある誤解	実際
本体を最新にすれば脆弱性はなくなる	プラグイン・テーマ・PHP は別に確かめる必要がある
停止中のプラグインは関係ない	ファイルが残るため、使わないなら削除する
自動更新をオンにしているから確認は要らない	自動更新が動いていないことがあり、サイトヘルスで確かめる
外から無料で診断して問題がなければ安全	外から見えない設定やプラグインの脆弱性は分からない
古い系統の WordPress でも修正が出るから急がない	公式に安全とされているのは最新の 7.1 系だけ

外から無料でできる確認の範囲は、ホームページのセキュリティチェックを無料でする方法で解説しています。

WordPress の脆弱性の確認を専門家に相談すべきとき

WordPress の脆弱性の確認で、悪用されている脆弱性が見つかった場合や、更新で表示が崩れる心配がある場合は、専門家に相談したほうが安全です。悪用が始まっている脆弱性は、更新する前に既に入り込まれていることがあり、更新だけでは直らないためです。

ここでは、専門家に相談すべき条件を紹介します。

【相談すべき条件】

• 悪用が報告されている脆弱性の対象だった
• 知らない管理者や、身に覚えのないページが見つかった
• プラグインが多く、更新すると表示が崩れないか分からない
• 管理者のログイン情報が分からない、作業する人がいない

WordPress を動かす PHP のサポート期限も含めた全体の対応は、PHP 8.2 のサポートは12月31日で終了。中小企業のHPでやることにまとめています。

「自社が対象か分からない」「作業する人がいない」場合は、HPの移管・保守サービス『サイガード』の無料診断をご利用ください。URLを送るだけで、外から見える範囲をセキュリティの専門家が確認します。

まとめ

• WordPress の脆弱性の確認方法は、本体・プラグイン・テーマのバージョンを控え、公式の脆弱性情報と照らし合わせること
• 本体は WordPress.org のリリース情報、プラグインとテーマは WPScan や JVN で調べる。2026年10月時点の最新版は 7.1.3
• 仕上げにサイトヘルスの「ステータス」で、古い PHP や自動更新の問題を確かめる
• 修正版があればバックアップを取って更新し、なければ停止・削除・入れ替えを検討する

まずは「ツール」→「サイトヘルス」→「情報」で、自社の WordPress のバージョンとプラグインの一覧を書き出してください。