→ PHPの脆弱性、WordPressサイトは今なにをすればいい？
はじめに
WordPressは世界中で使われている分、攻撃の的にもなりやすいソフトです。ただし、被害の多くは「更新していない」「パスワードが弱い」といった基本で防げるものです。
2026年も、WordPress本体や人気プラグインの弱点、土台であるPHPの弱点が相次いで見つかりました。どれも「すぐ更新できる状態にしておく」ことが一番の対策でした。この記事の12の方法を、上から順に確かめてみてください。
「もうハッキングされているかも」という方は、先にこちらをご覧ください。→ ハッキングされているかチェックする方法はこちら
1. 推測されにくいユーザー名にする
「admin」やサイト名、名前そのままは、最初に試されるユーザー名です。すでに使っている場合は変更しましょう。→ WordPressユーザー名の変更方法
あわせて「ユーザー」→「プロフィール」の「ブログ上の表示名」を、ログイン名とは違うニックネームにしておくと、記事からログイン名が分かりにくくなります。
2. 強力で、使い回さないパスワードにする
16文字以上のランダムなパスワードにし、他のサービスと同じパスワードは使わないでください。最近は、パソコンに入り込んだウイルスがブラウザに保存されたパスワードを盗む被害も増えています。WordPressのプロフィール画面の「新しいパスワードを生成」を使い、パスワード管理ツール（1Password、Bitwardenなど）で保管するのがおすすめです。
3. 2段階認証を設定する
パスワードが漏れても、スマホの認証アプリに表示される6桁のコードがなければログインできなくなります。今いちばん効果の大きい対策です。公式ディレクトリの「Two Factor」などのプラグインで設定できます。管理者権限のユーザーは全員設定しましょう。バックアップコードは印刷するなどして保管してください。
4. WordPress本体を最新にする
管理画面の「ダッシュボード」→「更新」で更新できます。小さな更新（セキュリティ修正）は初期設定で自動更新されます。同じ画面で「すべての新しいバージョンを自動更新」を選ぶと、大きな更新も自動になります。大きな更新の前にはバックアップを取ってください。
5. プラグインを最新にし、自動更新を使う
被害の原因でいちばん多いのが「古いプラグイン」です。「プラグイン」画面で「自動更新を有効化」を押しておくと、更新忘れがなくなります。決済や予約など、壊れると困るプラグインだけは手動にし、更新後に動作を確かめるのが安心です。有料プラグインはライセンスが切れると更新できなくなるので、期限も確認してください。→ WordPressのプラグインの更新方法＆自動更新
6. 使っていないプラグインは削除する
無効化しているだけのプラグインも、ファイルはサーバーに残っています。使っていないものは「無効化」→「削除」しましょう。また、公式ディレクトリで「最終更新が1年以上前」と表示されるものや、ディレクトリから消えているものは、代わりのプラグインを探しましょう。
7. テーマを最新にし、不要なテーマを削除する
使っているテーマ（子テーマの場合は親テーマ）を最新にします。使っていないテーマは、予備として公式テーマ（Twenty Twenty-Fiveなど）を1つだけ残して削除しましょう。
8. PHPのバージョンを最新に保つ
PHPはWordPressを動かしている土台のプログラムです。2026年10月にはPHPそのものに重大な弱点が見つかり、WordPressやプラグインを更新していても、PHPが古いと危険な状態になりました。
- 確認方法：「ツール」→「サイトヘルス」→「情報」→「サーバー」
- 目安：PHP 8.3以上（WordPressが推奨する最低ライン）。PHP 8.2は2026年12月31日でサポートが終わります
- 切り替え方：サーバーの管理画面の「PHPバージョン設定」で切り替えます。切り替え前にバックアップ、切り替え後に表示とフォームの確認をしましょう（PHPのバージョン更新の手順）
今回の脆弱性への具体的な対応は、こちらにまとめています。→ PHPの脆弱性、WordPressサイトは今なにをすればいい？
9. SSL（https）になっているか確かめる
今はほとんどのレンタルサーバーで無料SSL（Let’s Encryptなど）が使え、httpsは当たり前になりました。アドレスバーに鍵マークが出るか、「http://」で開いても「https://」に転送されるかを確かめましょう。「設定」→「一般」の2つのURLがどちらもhttpsになっていればOKです。
10. セキュリティプラグインを入れる（ただし入れすぎない）
国産の「SiteGuard WP Plugin」（公式ディレクトリ）は、ログイン画面のURL変更や画像認証、ログイン失敗が続いたときのロックなどを簡単に設定できます。ただし、同じようなセキュリティプラグインを複数入れると不具合の原因になります。また、今回のPHPの弱点のようにプラグインでは防げない攻撃もあるので、あくまで「更新とバックアップの上乗せ」と考えてください。サーバー会社のWAF機能があれば、合わせてONにしておきましょう。
11. バックアップを自動で、複数の場所に取る
何かあったときに「元に戻せる」ことが最後の守りです。
- サーバー会社の自動バックアップ機能があればONにする
- 加えて、プラグイン（All-in-One WP Migration、UpdraftPlusなど）で、サーバーの外（パソコンやクラウドストレージ）にも保管する
- 最新1つだけでなく、数世代分を残す（気づかないうちに改ざんされていた場合に備えて）
- PHPの切り替えや大きな更新の前には、手動でも取る
12. 管理者を絞り、月に1回点検する
制作会社や外注先に作った管理者アカウントが、そのまま残っていませんか。今使っていない人は削除し、記事を書くだけの人は「編集者」「投稿者」権限にしましょう。
月に1回、次の4つを見るだけでも大きな差がつきます。
- ☐ 「サイトヘルス」に重大な問題が出ていない（PHPのバージョンもここで確認）
- ☐ 更新がたまっていない
- ☐ ユーザー一覧に知らない管理者がいない
- ☐ バックアップが最近の日付で取れている
まとめ
WordPressのセキュリティは、特別な知識より「更新」「ログインを守る」「バックアップ」の習慣が大切です。自分だけでは不安な方は、個別レッスンで一緒に点検しましょう。→ WordPressの個別レッスンの詳細・お申し込み
