AI の登場によって、Webサイトを取り巻くセキュリティリスクはこれまでとは比べものにならないほど拡大しています。企業の業務を効率化するための AI は、攻撃者にとっても強力な武器です。スクリプトの作成、大量のサイトのスキャン、ログインページへの自動アクセス、そして攻撃の繰り返しまで、以前よりもはるかに少ない手間で実行できるようになりました。WordPress サイトも例外ではなく、古いプラグイン、脆弱なパスワード、フォーム、共有の管理者アカウント、後回しにされたメンテナンスといった、従来から狙われやすかったポイントに対して、自動化された攻撃が絶えず仕掛けられる時代になっています。

多くの企業にとって、WordPress サイトは単なる会社案内ではありません。お問い合わせの受付、商談のきっかけづくり、採用活動、顧客サポート、キャンペーンページの運営など、日々のビジネスを支える重要な基盤です。サイトの表示速度が低下したり、不正なページへ転送されたり、スパムメールの送信元として悪用されたり、検索結果から姿を消したりすれば、その影響はすぐに日常業務へと広がります。

現在では、多くの企業サイトが「特定の会社を狙う攻撃」ではなく、「侵入しやすいサイトを自動で探す仕組み」の対象になっています。AI の進化により、ログインページを自動で試すスクリプトや、既知の脆弱性を探し出す仕組み、巧妙なフィッシングメールの作成、攻撃を休みなく繰り返すプログラムなども、以前より簡単に作成・改良・大量展開できるようになりました。

WordPress 自体が危険な CMS というわけではありません。しかし、安全に運用し続けるためには、継続的なメンテナンスが欠かせません。AI を活用した攻撃が大規模化する現在では、「時間があるときだけ更新する」といった場当たり的な管理では、かえってリスクを高めてしまいます。更新を先延ばしにすること、管理者アカウントを複数人で共有すること、使っていないプラグインを放置すること、あるいはホスティング会社がすべてのセキュリティ対策を担っていると思い込むことは、いずれも危険です。今や WordPress のセキュリティは、特別な対策ではなく、日常的な Webサイト運用の一部として取り組むべきものになっています。

自動化された攻撃は、「日常的に発生するもの」

現在の WordPress を狙った攻撃の多くは、自動化され、継続的に繰り返される「機会型」の攻撃です。攻撃者は大量の Webサイトを自動でスキャンし、古いプラグインや公開されたログインページ、脆弱なパスワード、安全性が不十分なフォーム、本来公開されるべきではないファイルなど、よく知られた弱点を探し続けています。

それにもかかわらず、多くの企業では「ハッキングは大企業や有名企業だけが狙われるもの」と考えられています。「自社は規模が小さい」「地域密着型だから関係ない」「目立つ会社ではない」と安心してしまうケースも少なくありません。しかし、現在の自動化された攻撃に、相手企業への関心は必要ありません。必要なのは「侵入できる脆弱なサイト」であることだけです。

たとえ小規模な企業サイトであっても、攻撃者にとっては十分に利用価値があります。例えば、次のような目的で悪用されることがあります。

  • ドメインやサーバーを悪用してスパムメールを送信する
  • 詐欺サイトや検索順位を不正に操作するための隠しページを設置する
  • 訪問者を悪意のある Webサイトへリダイレクトする
  • マルウェアや不要なファイルを配布する
  • サイト内のデータを収集・流出させる
  • サーバーの処理能力を利用して別の攻撃を実行する

実際、2025 年の WordPress セキュリティに関する調査では、WordPress のエコシステム全体で 11,300 件を超える新たな脆弱性 が報告されました。これは一部の大規模システムや特殊なソフトウェアだけの話ではありません。多くの企業サイトが日常的に利用しているプラグインやテーマ、各種ツールで見つかった脆弱性です。Webサイト自体に変化を加えていなくても、それを取り巻くリスクは確実に変化しています。以前と同じ運用を続けているだけでは、安全とは言えない時代になっているのです。

攻撃者が最初に狙うポイントとは

自動化された攻撃は、多くの場合、狙う場所が決まっています。中でも最も狙われやすいのが、WordPress のログイン画面です。ボットは wp-login ページを繰り返しスキャンし、よく使われるユーザー名や流出したパスワードを自動で試しながら、保護が不十分な管理者アカウントを探します。そのため、パスワードの使い回しや管理者アカウントの共有をしているサイトは、侵入されるリスクが大きく高まります。

ログイン画面以外にも、次のような箇所は攻撃の対象になりやすいポイントです。

  • xmlrpc.php
    WordPress に標準搭載されている機能ですが、適切に制御されていない場合、ログイン試行を繰り返す攻撃に悪用されることがあります。
  • WordPress REST API
    プラグインや外部システムとデータを連携するための便利な仕組みです。しかし、アクセス権限の設定が適切でないと、情報漏えいや不正アクセスの原因になることがあります。
  • ファイルアップロード機能
    お問い合わせフォーム、会員登録フォーム、メディアアップロード機能などは、不正なファイルを送り込む入口として狙われることがあります。
  • プラグインやテーマ
    更新できていないもの、開発が終了したもの、必要以上の権限を持つもの、信頼できない開発元から導入したものは、特にリスクが高くなります。

なかでもプラグインには特に注意が必要です。プラグインは追加するたびに、管理・更新が必要なプログラムを増やします。もし開発が終了していたり、脆弱性への対応が遅かったりすれば、それだけ攻撃者に侵入される可能性も増えてしまいます。

実際に被害が発生した場合によく見られるのが、SEO スパムとリダイレクト攻撃です。SEO スパムでは、サイト内に気付かないうちにページが作成され、無関係な商品や詐欺サイト、不審なリンクなどが検索エンジン向けに埋め込まれます。一方、リダイレクト攻撃では、サイトを訪れたユーザー、あるいは検索エンジン経由でアクセスしたユーザーだけが、別の悪意ある Webサイトへ自動的に転送されます。こうした被害は、企業の信頼を損なうだけでなく、コンバージョン率の低下や、ブラウザ・検索結果で警告が表示される原因にもなります。

更新の遅れが攻撃のチャンスを生む

セキュリティアップデートは、通常の機能追加や不具合修正とは性質が異なります。脆弱性が見つかった時点では、すべてのサイトがすぐに修正されるわけではありません。そして、その情報が公開されると、攻撃者はすぐにその脆弱性を狙い始めます。脆弱性の発見から、開発者による修正、アップデートの公開、サイト側での検証、実際の更新完了までにはタイムラグが存在します。この間が、攻撃者にとって最も狙いやすい「危険な期間」です。

実際に起きた事例として、Advanced Custom Fields: Extended の脆弱性があります。本来は多くの WordPress サイトで利用されている便利なプラグインですが、このケースでは、特定のフォーム設定を悪用されることで、外部の第三者が管理者権限を取得できる可能性があることが判明しました。この事例が示しているのは、「プラグインは危険だから使うべきではない」ということではありません。重要なのは、普段は安全に利用している機能でも、アップデートや権限設定、フォームの挙動を適切に管理していなければ、思わぬリスクにつながることがあるという点です。

だからこそ、「気が向いたときにまとめて更新する」といった運用では十分とは言えません。脆弱性への対応が必要なアップデートは、迅速に適用することが求められる一方で、フォームや購入フロー、多言語機能、独自開発の機能などに影響する更新は、事前の動作確認も欠かせません。企業の WordPress 運用では、緊急性の高い脆弱性を継続的にチェックし、導入しているプラグインの状況を把握したうえで、安全な環境で検証を行い、本番サイトが問題なく動作していることまで確認する体制が重要です。こうした進め方については、WP Flex の「WordPressサイトを安全に更新するためのステップバイステップガイド」でも詳しく紹介しています。

被害は目に見えないところから始まる

Webサイトが改ざんされたからといって、トップページが書き換えられたり、すぐに異変が目に見えたりするとは限りません。実際には、多くの攻撃は気付かれないように仕込まれます。攻撃者の目的はサイトを壊すことではなく、できるだけ長くアクセス権を維持することだからです。ページは一見問題なく表示されていても、裏側では不正なファイルや管理者アカウントが追加されていたり、スパムページや悪意のあるスクリプトが密かに動作していたりするケースは珍しくありません。

次のような変化が見られた場合は、一度詳しく調査することをおすすめします。

  • Webサイトやサーバーの動作が急に遅くなった
  • WordPress に覚えのない管理者アカウントが追加されている
  • wp-content/uploads 内などに、見覚えのないファイルやフォルダが存在する
  • Google Search Console でスパムやマルウェア、有害なコンテンツに関する警告が表示されている
  • 自社ドメインやサーバーから、身に覚えのないスパムメールが送信されている
  • Google の検索結果に、日本語やその他の言語による不審なページが表示されるようになった
  • 検索順位が突然大きく下がったり、検索結果に表示される説明文が本来の内容と異なっていたりする

Google のハッキング被害やセキュリティに関するガイドラインでも、マルウェアや不要なソフトウェア、フィッシングなどのソーシャルエンジニアリング、改ざんされたコンテンツが検出された場合、警告が表示されることがあると説明されています。こうした警告は検索結果での表示やサイトの信頼性に大きな影響を与えるため、単なる技術的な通知として見過ごしてはいけません。

もちろん、サイトの表示速度が低下したり、SEO の順位が変動したりする原因が、必ずしも不正アクセスとは限りません。しかし、これまでになかった変化が突然発生し、その原因がはっきりしない場合は、問題が大きくなる前に早めに原因を確認することが重要です。

グローバル企業特有の「見えないリスク」

WordPress のセキュリティ対策は世界共通の課題ですが、実際のWebサイト運用は国や地域ごとに分かれているケースが少なくありません。例えば、英語サイトでは海外製のプラグインを利用し、日本向けサイトでは国内向けのツールや決済システム、日本仕様のお問い合わせフォーム、住所自動入力機能、さらに業務に合わせた独自開発の機能を組み合わせて運用している企業も多いでしょう。

こうした環境では、見えにくいリスクが生まれやすくなります。日本側の担当者や制作会社は、国内のホスティング環境や日本製ツールには詳しくても、英語で日々公開される WordPress の脆弱性情報や、海外プラグインのセキュリティアップデートまで継続的に追えていないことがあります。一方で、海外のサポートチームは主要な海外製プラグインの動向には精通していても、日本独自のプラグインや地域特有のシステム連携については十分な知識を持っていないことも珍しくありません。

複数の国や地域で Webサイトを運用している企業では、このような情報のギャップによって、一部のサイトは適切に管理されている一方で、別の部分ではリスクが見過ごされてしまう可能性があります。たとえ日本向けの決済機能や国内専用のプラグイン、お問い合わせフォームだけの問題だったとしても、影響を受けるのは企業ブランドや顧客、そして事業そのものです。

JVN
JPCERT/CC

グローバルブランドが日本国内でサイト運用をする場合は、海外の情報だけでなく、JVN や JPCERT/CC といったサイトが公開するセキュリティ情報にも目を配る必要があります。だからこそ、日本企業や APAC 市場を対象とする企業では、日本語と英語の両方に対応できる WordPress 運用体制が大きな強みになります。導入しているツールを正確に把握し、どの脆弱性情報を優先して対応すべきかを判断し、誰がどこまで責任を持つのかを明確にする。そして、一つの地域で起きた小さな問題が、企業全体のリスクへ発展する前に対処できる体制を整えることが重要です。

セキュリティは「一度の対策」ではなく、「日々の運用」で決まる

WordPress のセキュリティは、一つの対策を導入すれば万全になるものではありません。本当に安全なサイトは、日々の運用習慣と適切な管理体制が積み重なることで守られています。WordPress の公式ガイドでも セキュリティは「リスクをゼロにすること」ではなく、「リスクをできる限り減らし続けること」だと説明されています。この考え方こそ、企業が Webサイトを運用するうえで持つべき基本姿勢です。

まずは、次のような基本的な対策を継続することが重要です。

  • WordPress 本体・テーマ・プラグインを常に最新の状態に保つ
  • 強力で使い回しのないパスワードを設定する
  • 可能な限り二要素認証（2FA）を導入する
  • 管理者アカウントごとに利用者と役割を明確にする
  • 退職した社員や契約終了した制作会社など、不要になったアカウントは速やかに削除する
  • 本当に必要なプラグインとテーマだけを残す
  • 使っていないプラグインやテーマは「停止」するだけでなく削除する
  • 定期的に外部バックアップを取得する（更新頻度の高いサイトでは毎日のバックアップが理想）
  • バックアップを取得するだけでなく、実際に復元できることまで定期的に確認する

また、Webサイトを運用する環境そのものも、セキュリティを左右する重要な要素です。信頼できるホスティング環境には、安全なサーバー設定、サイト同士の適切な分離、監視体制、安定したリソース、そして WordPress を理解したサポートが求められます。一方、一般的なレンタルサーバーでは、サーバー環境は提供されていても、不正アクセスのチェックやマルウェアの除去、WordPress に特化したセキュリティ対策までは含まれていないことも少なくありません。

さらに、より安定した運用を目指すのであれば、定期的なセキュリティレビューやステージング環境の活用、リアルタイム監視も取り入れたいところです。セキュリティレビューでは、ユーザーアカウントやプラグイン・テーマの状態、ファイルの変更履歴、アクセス権限、バックアップ、お問い合わせフォーム、ログ、既知の脆弱性などを定期的に確認します。また、ステージング環境を利用すれば、本番サイトへ反映する前にアップデートの影響を検証できます。さらに、ファイル変更の検知、ログイン監視、稼働監視（アップタイム監視）、マルウェアスキャン、アクセス状況の確認などを組み合わせることで、異常を早い段階で発見しやすくなります。

一方で、次のような運用はリスクを高める原因になります。

  • 更新通知を何週間、何カ月も放置する
  • 信頼できない配布元のプラグインを導入する
  • チーム全員で同じ管理者アカウントを共有する
  • 他のサービスと同じパスワードを使い回す
  • 「レンタルサーバーを契約しているからセキュリティ対策も任せられる」と考える
  • サイトに目に見える不具合が発生するまで警告や異変を放置する

こうした日々の積み重ねこそが、WordPress を安全に運用し続けるための土台になります。

専門家に任せるべきタイミングとは

Webサイトの運用では、コンテンツの修正やプラグインの設定変更、通常のアップデートなど、社内で対応できる作業も少なくありません。しかし、セキュリティインシデントは別です。ある程度の異常が確認された段階で自己判断による対応を続けると、かえって被害を拡大させたり、原因の特定を難しくしてしまったりすることがあります。

次のような状況では、専門家による調査・対応を検討することをおすすめします。

  • マルウェアが検出されたものの、侵入経路が分からない
  • マルウェアを削除しても、数日後に再び感染してしまう
  • WordPress のコアファイルが、意図せず変更されている
  • Google によってサイトがブラックリスト登録された、ブラウザで警告が表示される、またはホスティング会社からサイトが停止された
  • 見覚えのないプログラムやデータベースの記録が見つかった
  • 顧客情報や個人情報が漏えいした可能性がある

また、不審なファイルを削除しただけで安心してはいけません。「なぜそのファイルが存在していたのか」が分からないままでは、根本的な解決にはならないからです。もし同じ被害が繰り返されるのであれば、隠れた侵入口や、脆弱性のあるプラグイン、不正に乗っ取られたアカウント、安全性に問題のあるサーバー設定、あるいはデータベース上の問題など、根本原因が解消されていない可能性があります。

本当の意味でのセキュリティ対策とは、マルウェアを削除することだけではありません。攻撃者がどこから侵入したのかを特定し、その経路を確実に塞ぎ、安全な状態へ復旧させたうえで、見えない侵入口が残っていないかまで確認し、再発防止策を講じることが重要です。「なぜこの問題が起きたのか」という原因まで明らかになっていない復旧作業は、まだ完了したとは言えません。

AI時代のリスクにどう向き合うべきか

AI の普及によって、Webサイトへの攻撃はこれまで以上に高速化・大規模化しています。しかし、その変化に対して必要なのは、過度に恐れることではありません。日々の運用を着実に積み重ねることこそが、最も現実的で効果的な対策です。

WordPress サイトは、単なる情報発信の場ではなく、企業のビジネスを支える重要なインフラとして考える必要があります。定期的なアップデート、適切なプラグイン管理、厳格なアクセス権限の運用、外部バックアップ、稼働状況の監視、マルウェアチェック、そして万が一の際にすぐ相談できるサポート体制まで含めて、日常的な運用の一部として整えておくことが重要です。また、グローバルに事業を展開する企業であれば、海外で公開される WordPress のセキュリティ情報と、日本国内のWebサイト運用環境の両方を理解したサポート体制があることも重要です。

リスクが高いのは、高度で複雑な Webサイトを運営している企業とは限りません。むしろ、誰が保守を担当しているのかが曖昧なサイトや、復元テストをしていないバックアップ、必要以上に増えたプラグイン、共有された管理者アカウント、更新の先延ばし、監視体制の不在といった「小さな管理の隙」が積み重なったサイトほど、AI を活用した自動攻撃の標的になりやすくなります。

WordPress のセキュリティを、無理なく継続できる運用へ

現代におけるWordPress のセキュリティ問題は、攻撃者の手口が高度化したことだけではありません。これまで見過ごされがちだった小さな脆弱性も、以前とは比べものにならない頻度とスピードで狙われるようになったことです。

だからこそ、WordPress のセキュリティは、特別な担当者だけの仕事ではありません。経営者はもちろん、マーケティング担当者やWebサイト運用担当者も含め、日々の業務の一部として取り組むことが重要です。そのためには、アップデートのルールを明確にし、信頼できるバックアップを取得し、サイトを継続的に監視し、万が一異常が見つかった際にどのように対応するかまで決めておく必要があります。

もし長期間サイトの状態を確認していないのであれば、一度、管理者アカウント、プラグイン、バックアップ、ホスティング環境、監視体制、既知の脆弱性などをまとめて点検してみることをおすすめします。それだけでも、現在どこにリスクが潜んでいるのかを把握しやすくなります。そのうえで、自社で対応できる範囲と、専門サービスへ任せたほうが安全かつ効率的な部分を整理することで、リスクを抑えながら、より安定した運用体制を構築できます。

社内にセキュリティ専任の担当者やチームがない企業にとっては、WP Flex が WordPress ホスティング、保守・メンテナンス、監視、バックアップ、セキュリティサポート、そして実践的な技術支援を提供することで、日々の WordPress 運用をより安心して続けられるよう支援します。現在の運用体制に不安がある場合や、長年見直しをしていない場合、その場しのぎの対応が増えていると感じる場合は、お気軽に WP Flex までご相談ください。