みなさんこんにちは。ベクトルのいしかわでございます。
SNS を見てると
「WordPressまたセキュリティアップデート！脆弱性があってやばい！」
みたいな投稿をちょくちょく見かけます。
たしかに最近セキュリティリリースは増えてます。だけどこれ、「WordPress の品質が急に悪くなった」という話ではないデス。
最後に、クライアントから「WordPress って危ないんですよね？」と聞かれたときの説明の仕方も書きました。
報告件数が月20〜30件から450件になった
まず事実から。
WordPress の HackerOne（脆弱性の報告を受け付ける窓口）へのバグ報告は、ここ10年ほど月20〜30件で推移していました。それが2026年7月には月450件。
急増が始まったのは2026年2月頃、新世代のコーディング向け AI モデルが出たあたりからだそうです。
出典はこちら。
- WordPressのバグハントがLLMで増加している（Capital P・高橋文樹さん）
- WordPress 7.0.3 Patches Vulnerabilities as Bug Bounty Reports Climb to 450 a Month（The Repository）
数字だけ見ると「WordPress ヤバいじゃん」と思いますよね。
増えたのは「脆弱性」ではなく「見つける力」
でも増えたのは脆弱性そのものではなくて、見つける力の方です。
今まで人間の目では見つけるのが難しかったバグまで、AI が拾えるようになった。
しかも探すコストが劇的に下がりました。先の記事では、AI ツールを使った脆弱性の発見にかかった費用が25ドルだったという事例が紹介されています。ランチ2回分くらいで脆弱性が1件見つかる時代なわけです。
さらに、探す側にモチベーションがある。生成 AI を提供している会社にとって「うちのモデルはこれだけ脆弱性を見つけられます」は最高の実証になりますからね。
探す人が増えて、探すコストが下がった。その結果としての450件。
「WordPress の品質が急激に悪くなって脆弱性が増えた」というより、「AI によって今まで見つからなかった脆弱性まで発見されるようになり、それに対してパッチがリリースされている」という側面が大きいのです。
まぁ「WordPress の製品売ってる会社の人が言っても説得力ないわ」と思われるかもしれません。なのでもう少し事実の話をします。
PHP もデータベースも Linux も Windows も脆弱性は出ますよね
WordPress だけ散々「脆弱性がー」と騒ぐ人が多いですが、PHP もデータベースも Linux も Windows も脆弱性は発見されるし、パッチも出ますよね。
CVE を眺めてもらえればわかりますが、名前を知ってるようなソフトウェアはだいたい常連です。
これだけの規模のソフトウェアで「脆弱性が常にゼロ」というのはまぁ現実的ではない。
WordPress が名指しされやすいのは、単に圧倒的に使われていて話題になりやすいからでしょう。
大事なのは、見つかったあとに何が起きるか
脆弱性が「出る」ことと「放置される」ことは、全く別の問題です。ここが一緒くたに語られがち。
大事なのは、発見されたときにきちんと報告・検証され、迅速に修正されること。
月450件も報告が来て、それを検証してリリースまで持っていってるわけです。むしろ、それが継続的に行われているのは、ちゃんとメンテナンスされている証拠ですよ。
タチが悪いのは、自動更新を切っておいて後から文句を言う人
「アップデートで納品した状態をかわっちゃうと困るから」とかで自動更新をわざと切ったり、定期バックアップも取らないなど雑な管理をしておいて、ハッキングされたあとに
「WordPress はメンテナンスが大変！」
とか言い出す人が多いのよ…。
まぁ、更新で表示が崩れた経験があると切りたくなる気持ちはわからんでもないですが、問題が出ればバックアップからポチポチ復元すればいいだけ。
最低限これだけはやりましょう。
- 自動更新はオンにしておく
→ 特にセキュリティリリースは、適用が遅れるほど危ない。今はコアのマイナーアップデートは標準でオンなので意図的に切ってなければオンのはず。 - 定期バックアップを設定する
→ 戻せない更新は怖いけど、戻せるなら怖くない - PHP のバージョンを上げる
→ WordPress 本体だけ更新しても、土台が古いままだと意味が薄い
順番の話をすると、バックアップさえあれば更新は怖くなくなります。逆をやるからしんどくなる。
「WordPress って危ないんですよね？」と聞かれたときの説明
クライアントにこう聞かれて、うまく答えられなかった方も多いのではないでしょうか。
こんな感じで説明するといいと思います。
「脆弱性が見つかって修正されているのは、むしろちゃんと人の手が入っている証拠です。危ないのは脆弱性が出ないソフトではなくて、出ても直らない、あるいは直ったものが適用されない状態の方です。なのでうちでは自動更新とバックアップをセットで運用していて、万が一のときも戻せるようにしています」
これが言えると、保守契約の必要性も同じ口で説明できます。「更新作業になぜお金がかかるのか」の答えがまさにここなので。
逆に「WordPress は安全です」と言い切るのはやめておいた方がいい。言い切った瞬間、何かあったときに自分の首が絞まります。
自動更新とバックアップだけ設定して、堂々と使いましょう
脆弱性の報告が増えたのは、AI が見つけられるようになったから。見つかって直っているのは、メンテナンスされている証拠。そして本当に危ないのは、更新を切って放置されたサイトの方です。
自動更新と定期バックアップだけ設定した上で、WordPress を運用しましょう。
この記事を書いた人
- 代表取締役
- 名古屋のウェブ制作会社数社に10年程度務めた後、株式会社ベクトル設立。
企画・運営・コンサルティング〜WordPressを中心としたシステム開発まで幅広く携わる。
[ 著書 ]
・いちばんやさしいWordPressの教本（共著）
・現場でかならず使われているWordPressデザインのメソッド（共著）
[ 最近のWordPressコミュニティでの活動 ]
WordCamp Tokoy 2023 セッションスピーカー
WordCamp Asia 2023 セッションスピーカー（LT）
WordCamp Niigata 2019 セッションスピーカー
WordCamp Haneda 2019 セッションスピーカー
WordCamp Osaka 2018 セッションスピーカー
WordCamp Kyoto 2017 セッションスピーカー
他
を購入して
特典をゲットしよう！
特典A
X-T9 工務店
（ ナチュラル ）
19,800円(税込)
0円に！
特典B
Lightning ビジネス（Evergreen）
9,900円(税込)
0円に！
特典C
Lightning 工務店
（ ナチュラル ）
19,800円(税込)
0円に！
今なら！
Vektor Passport の
有効期間中、上記の
デモサイトデータを
何度でも素早くまるごと
インポートできます！
爆速!!１分でデモサイトと同じ
ホームページができる
選んだデモサイトと同じ状態の WordPress サイトを、わずか数ステップで再現できるインポート専用プラグインです。数クリックで、プロ品質のサイトがすぐに起動します。
フルサイト編集対応ブロックテーマ
WordPress テーマ X-T9 は、WordPress 5.9 から実装されたフルサイト編集機能に対応した「ブロックテーマ」と呼ばれる新しい形式のテーマです。
ヘッダーやフッターなど、今までのテーマではカスタマイズが難しかったエリアもノーコードで簡単・柔軟にカスタマイズする事ができます。
パターンを使って
よりクオリティの高いサイトに
パターンとは、WordPressのブロックを組み合わせて作ったデザインテンプレートのようなもの。プロのデザイナーが制作したパターンを300以上公開中！コピペしながら高品質なサイトを簡単に作れます。
ブロックエディターで
ABテストを
自由に作成できる
VK AB Testing は、ABテストを実施するための WordPress 用プラグインです。ブロックエディターでテストパターンを自由に作成でき、ランダム表示とクリック計測が可能です。Webサイトや広告などの施策の改善にぜひご活用ください。