制作会社に任せきりのWordPress、更新されていますか｜外部から5分で確認する方法

　「ホームページは制作会社に作ってもらった。それ以来、誰が更新しているのか分からない」——中小企業では珍しくない状況です。WordPress は世界で最も使われているCMS（サイトを管理する仕組み）で、そのぶん自動化された攻撃の標的にもなりやすいものです。

　まず確かめたいのは、自社サイトがいまどう見えているかです。URLの後ろに文字を足して開くだけで、外から5分で分かります。そのうえで手をつけることは2つに絞れます。使っていないプラグインとテーマを「停止」ではなく削除すること。更新が自動で当たる状態を作り、当たったかを見る習慣を持つことです。設定を10個並べても回りません。順番が要ります。

外から見える範囲を5分で自己点検する

　自社サイトのURLの後ろに文字を足して開けば、外から何が見えるか確認できます。望ましい応答も併記します。

確認するURL	見えると困るもの	望ましい応答
/wp-json/wp/v2/users	ログインIDのもとになる利用者名	401（拒否）
/?author=1	同上（著者ページに転送される）	302（著者ページを表示しない）
/xmlrpc.php	外部からログインを試す窓口	403（拒否）
/readme.html	WordPressのバージョン	403（拒否）
HTML内のgenerator	WordPressのバージョン	出力なし

　これらが見えても、それだけで侵入されるわけではありません。ただ、ログインIDが分かればパスワードを試す側の手間は減ります。塞ぐ手間は小さいです。手順はログインID露出・xmlrpc・バージョン情報を塞ぐ記事にまとめてあります。

　外からの見え方をまとめて確認するなら、当社の無料セキュリティ診断が使えます。URLを入れるだけです。会員登録もインストールも不要です。優先順位がつかない、誰が見るべきかも決まらない、という段階ならお問い合わせからご相談ください。

　ここからは、確認して気になる点が見つかったあとの話です。

まず手をつける2つ：使っていないものを削除、自動更新を入れる

　WordPress公式ガイド「Hardening WordPress」はこう書いています。「if you are not using a specific plugin, delete it from the system」（使っていないプラグインはシステムから削除する）。停止したまま置かない、という意味です。停止中でもファイルはサーバー上に残ります。

　もう一つが自動更新です。WordPressは5.5（2020年8月）から、管理画面で1本ずつ自動更新を切り替えられます。ただし既定はオフなので、自分で入れます。本体側は、5.6以降に新規インストールしたサイトなら小さな更新も大きな更新も既定で自動、それ以前から運用するサイトは既定でマイナー更新のみ、と公式ドキュメントは説明しています。

• 使っていないプラグイン・テーマを削除（10分）
• 残したプラグインの自動更新をオン（5分）
• 本体が最新版か確認（ダッシュボード > 更新・3分）
• ログイン試行の制限と二要素認証（30分）
• 外からの見え方を点検（後述・5分）

IPAが実際に出した注意喚起を読む（2026年7月）

　一般論より実際の注意喚起を見たほうが早いでしょう。IPA（情報処理推進機構）は2026年7月22日、「WordPressの脆弱性対策について(CVE-2026-60137、CVE-2026-63030：wp2shell)」を公開しました。プラグインではなく本体の話です。

項目	IPAの記載
脆弱性	CVE-2026-60137（SQLインジェクション）／CVE-2026-63030（REST APIの経路取り違えとSQLインジェクション。遠隔コード実行に至る）
対象	6.9.0〜6.9.4、7.0.0〜7.0.1（CVE-2026-60137は6.8.0〜6.8.5も。6.8より前は影響なしとされる）
修正版	6.9.5／7.0.2（CVE-2026-60137は6.8.6でも修正）
影響	「標準構成において、管理者権限などを要さないで、攻撃者が遠隔でのコード実行に至る可能性」

　読むべきは対策欄です。IPAは、WordPress.orgが影響を受けるバージョン向けに自動更新による強制更新を有効化した、と伝えたうえでこう続けます。「WordPress を運用している環境・構成や設定状況によっては、自動更新が有効ではなかったり、更新に失敗している可能性も考えられます」。自動更新は入れる価値がありますが、入れたら終わりではありません。本体の最新版は公式の配布API（api.wordpress.org）で確認でき、2026年8月12日時点は7.0.3でした。

　プラグインの例も挙げます。IPAは2020年9月18日、プラグイン「File Manager」の脆弱性（CVE-2020-25213）について注意喚起を出しました。対象は6.9より前です。「認証されていない遠隔の第三者によって、悪意のあるファイルをアップロードされ、任意のコードが実行される可能性があります」とあり、「攻撃が確認されているとの情報がある」ため至急の更新を求めています。

なぜプラグインが弱点になりやすいのか

　プラグインは、サイト本体と同じ場所で、同じ権限でプログラム（PHP。サーバー側で動く言語）が動きます。「便利な追加機能」ではなく「本体の一部」と考えたほうが実態に近いでしょう。本体の開発者とプラグインの開発者は同じではありません。更新が続くかは作者次第です。1本入れるたび、自社が更新を追う相手が1つ増えます。

　日本語で公開される脆弱性情報でも、プラグインの存在感は大きいです。IPA「JVN iPediaの登録状況」2025年第4四半期版では、閲覧数の多かった脆弱性対策情報の上位20件のうち5件がWordPress用プラグインの脆弱性でした。ただしこれは閲覧数であって被害件数ではありません。「情報が多く出る領域だ」と受け取るのが正確です。

当社が自社サイトに入れている設定

　当社が自社サイトに入れている設定です。いずれも製品の追加購入は不要で、設定だけで対応できます。

• REST API（外部とデータをやり取りする窓口）のうち、未認証での /wp/v2/users（利用者一覧）へのアクセスを拒否
• XML-RPC（xmlrpc.php。外部アプリから投稿する古い窓口）を無効化
• 画像などのアップロード先（uploads配下）でのPHP実行を禁止
• wp-config.php の権限を絞る（WordPress公式は400または440を挙げています。「自分とWebサーバー以外は読めない」状態にするのが趣旨です）
• 管理画面のログイン試行回数の制限と、二要素認証

　これで安全になるわけではありません。上の設定は手がかりと入口を減らすもので、脆弱性そのものを消しません。前述のwp2shellのような本体側の脆弱性は、更新でしか塞げません。役割が違います。

　運用はこうです。週1回、ダッシュボードを開いて更新の通知が残っていないか見ます。月1回、プラグイン一覧を眺めて「これ、まだ使っているか」を確認し、使っていなければ削除します。月20分ほどです。担当を決めないと誰も見ないので、1人に割り当てています。

参考・出典

• IPA「WordPressの脆弱性対策について(wp2shell)」2026年7月22日
• IPA「WordPress用プラグイン File Manager の脆弱性対策について」2020年9月18日
• IPA「JVN iPediaの登録状況［2025年第4四半期］」
• WordPress公式「Hardening WordPress」
• WordPress公式「Updating WordPress」
• WordPress 5.5 リリース情報（2020年8月）
• WordPress 本体の最新版確認API

この記事に関連するよくある質問

制作会社に任せきりのWordPressが更新されているか、自分で確認できますか？

できます。自社サイトのURLの後ろに /readme.html や /wp-json/wp/v2/users を足して開くと、バージョン情報やログインIDのもとになる利用者名が外から見えていないかを確認できます。5分ほどで終わります。

使っていないプラグインは、停止しておけば安全ですか？

いいえ。停止していても、ファイルはサーバーに残ります。WordPress公式のガイドも、使っていないプラグインはシステムから削除するよう案内しています。停止ではなく削除してください。

WordPressの自動更新は、最初から有効になっていますか？

既定では無効です。プラグインはWordPress 5.5（2020年8月）から1本ずつ自動更新に切り替えられるようになりましたが、自分で設定する必要があります。

その他のご質問はこちら（よくある質問の一覧）