2024年、WordPressのエコシステムで見つかった新規の脆弱性は7,966件。前年から34%増え、1日あたり約22件のペースで見つかっています。
そのうち43%は認証不要で悪用でき、96%はプラグイン由来です。「作って終わり」のホームページは、公開した瞬間から少しずつ脆弱性のリスクを蓄積していきます。
年間7,966件——増え続ける脆弱性
セキュリティ企業Patchstackの調査によると、WordPress本体・プラグイン・テーマを含むエコシステム全体で2024年に見つかった新規の脆弱性は7,966件。前年（2023年）から34%増加し、1日あたりに換算すると約22件のペースになります。WordPressは世界のCMS市場で6割近いシェアを持つ定番ですが、シェアが大きいということは、それだけ攻撃者にとって「狙う価値のある的」が多いということでもあります。
さらに見過ごせないのが、43%は認証不要で悪用できるという点です。管理画面のパスワードを推測される必要すらなく、外部から直接突かれる脆弱性が半数近くを占めています。
狙われやすいのは「プラグイン」——コアはわずか7件
「WordPressは危険」という話をすると、WordPress本体（コア）に問題があるように聞こえるかもしれません。しかし実態は違います。Patchstackの同調査では、2024年に見つかった脆弱性のうち96%はプラグインが原因で、テーマは4%、コア自体はわずか7件にとどまります。
WordPress本体は世界中の開発者が継続的にセキュリティを検証している一方、個々のプラグインは開発者の規模も更新頻度もさまざまです。便利な機能を追加するために入れたプラグインが、更新されないまま放置されて弱点になる——これが最も起こりやすいパターンです。
「作って終わり」が招くリスク
IPA（情報処理推進機構）が2026年1月に発表した「情報セキュリティ10大脅威 2026」（組織編）では、「システムの脆弱性を悪用した攻撃」が6年連続9回目のランクイン（4位）となりました。脆弱性を突く攻撃は、一時的な流行ではなく、毎年繰り返される定番の脅威として定着しています。同じ2026年版では「AIの利用をめぐるサイバーリスク」が3位で初めて選出されており、新しい脅威が加わる一方で、脆弱性対策という基本的な課題は解決されないまま残り続けていることが分かります。
ホームページを公開した時点では最新の状態でも、プラグインやテーマは時間の経過とともに更新が必要になります。更新を止めた瞬間から、次に見つかる脆弱性に対して無防備になっていきます。43%が認証不要で悪用できるということは、攻撃者が人手でサイトを探す必要すらなく、自動化されたスキャンで機械的に狙われるということでもあります。
保守は何をすることなのか
ホームページ保守とは、公開後のサイトに対して次のような作業を継続することです。
- プラグイン・テーマ・コアの更新——新しいバージョンが出るたびに適用し、既知の脆弱性を塞ぐ
- 定期的なバックアップ——万が一改ざんされても、被害の少ない状態に戻せるようにしておく
- 稼働・改ざんの監視——サイトが正常に表示されているか、不審な変更が無いかを継続的にチェックする
特別な作業に見えるかもしれませんが、要は「公開して終わりにせず、継続的に手を入れ続ける」というだけのことです。liensはホームページ制作とあわせて、この保守運用のご相談も承っています。自分たちで対応するにせよ、任せるにせよ、まず大切なのは「保守は公開後もずっと必要な作業だ」と認識しておくことです。
今すぐ確認できることとして、次の3つをチェックしてみてください。
- 直近1ヶ月以内に、プラグイン・テーマ・WordPress本体を更新した記録はあるか
- サイトが改ざんされた場合、いつ時点のバックアップから復旧できるか把握しているか
- サイトの表示や動作を、誰かが定期的に確認しているか
ひとつでも答えに詰まる項目があれば、それが「作って終わり」になっているサインです。
関連記事: WordPressとは？中小企業のホームページ運営に向いている理由と注意点 ／ WordPressのSEO設定ガイド：公開前に整えたい6つの基本設定 ／ ホームページに問い合わせが来ない、よくある原因の切り分け方
出典一覧
- Patchstack「State of WordPress Security in 2025」（2025年3月14日）
- IPA（情報処理推進機構）「情報セキュリティ10大脅威 2026」（2026年1月29日）