WordPress 7.0 が出たころから、セキュリティの更新のお知らせが目に見えて増えました。それを見て「WordPress は脆弱性が多くて危ない」と感じている人も多いと思います。
先に結論を書きます。更新が多いことは、危ないことの証拠ではありません。危ないのは、更新していない WordPress です。
■ この記事で分かること
- なぜいま、WordPress のセキュリティ更新が増えているのか
- 「更新が多いソフト」と「更新が少ないソフト」は、どちらが安心なのか
- 「WordPress の脆弱性」の大半は、どこにあるのか
- 個人のサイトで、最低限やっておくこと4つ（管理画面での手順つき）
■ 更新が増えているのは、AI で調べる人が増えたから
脆弱性とは、プログラムの中にある「悪用できてしまう弱点」のことです。見つけるには、プログラムを読み込んで、おかしな動きをする場所を探す必要があります。以前は、専門の知識と時間がかかる作業でした。
いまは AI を使えば、この作業がずっと手軽にできます。WordPress はソースコードがすべて公開されているので、だれでも読めます。AI で調べる対象としては、うってつけです。
これは推測ではなく、WordPress の公式セキュリティチームが2026年8月に発表した「Core Security Initiative」で説明されていることです。届く報告が大きく増えていて、その多くは AI の進歩によるもの、とされています。2026年8月6日の WordPress 7.0.3 では、1回の更新で12件の問題が直されました。
公式チームは、この状況を「良い問題」と表現しています。調べる人が増えれば、それだけ見つかる穴が増え、塞がれる穴も増えるからです。そのうえで、報告をさばく人を増やし、未対応の報告をゼロにすることを目標にしています。
■ 更新が多いソフトと、少ないソフト
ここで、更新のお知らせが多いソフトと少ないソフトを比べてみます。
| 更新のお知らせが多い | 更新のお知らせが少ない | |
|---|---|---|
| 見えていること | 穴が見つかり、直されたことが公表されている | 何も公表されていない |
| 考えられる理由 | 調べる人が多く、見つかるたびに直している | 本当に穴が無い／だれも調べていない／見つかっても公表していない |
| 使う人が分かること | 何が直ったか、更新すべきかが分かる | 自分のサイトが安全かどうか、判断できない |
お知らせが少ないことは、安全の証拠にはなりません。穴があるのに公表されず、こっそり直されていたら、使っている人は被害にあっていても気づけません。
WordPress は、見つかった脆弱性を直して、何を直したかを毎回公表しています。発見 → 修正 → リリース → 公表の流れを隠さずに見せているのは、使う側にとって、むしろ安心できる材料です。
■ 本体とプラグイン：脆弱性の大半はどこにあるか
ニュースで「WordPress の脆弱性が○○件」と見かけたとき、その数字には WordPress 本体だけでなく、あとから追加するプラグインやテーマも含まれています。
WordPress のセキュリティを専門に扱う Patchstack 社のレポートでは、2025年に見つかった約11,000件の内訳は次のとおりでした。
| どこにあったか | 割合・件数 |
|---|---|
| プラグイン | 91% |
| テーマ | 9% |
| WordPress 本体 | 6件 |
「WordPress は脆弱性が多い」という話の多くは、正確には「WordPress に追加するプラグインやテーマに、脆弱性が多い」ということです。裏を返せば、何を入れるか、入れたものを更新しているかで、サイトの安全はほぼ決まります。
■ ただし、更新しない WordPress は本当に危ない
直された中身は、更新して初めて自分のサイトに届きます。そして、更新のお知らせは、攻撃する側も読んでいます。
2026年9月22日、WordPress 本体の深刻な脆弱性（CVE-2026-87902）を直す更新が出ました。Patchstack 社の記録では、その日のうちに、この穴を狙った攻撃が始まっています。修正が公開されると、それを手がかりに、まだ更新していないサイトが狙われるのです。
「更新が多くて面倒だから止めておこう」は、いちばん危ない選択です。
■ 個人のサイトでやること4つ
難しいことはありません。管理画面で、次の4つを確かめてください。画面の文言は WordPress 7.1 の日本語版のものです。
1. 本体の自動更新が止まっていないか確かめる
管理画面の「ダッシュボード」→「更新」を開きます。「このサイトは WordPress のメンテナンスリリースとセキュリティリリースのみで自動的に最新の状態に保たれます。」と出ていれば、セキュリティの更新は自動で当たる状態です。
この表示が無い場合は、サーバーやプラグインの設定で自動更新が止められている可能性があります。契約しているサーバーの設定画面や、入れているプラグインを確かめてください。
2. プラグインとテーマの自動更新を有効にする
「プラグイン」→「インストール済みプラグイン」を開くと、一覧の右側に「自動更新」の列があります。プラグインごとに「自動更新を有効化」をクリックすると、新しい版が出たときに自動で更新されます。
テーマも、「外観」→「テーマ」でテーマを選び、詳細の画面から「自動更新を有効化」を選べます。
3. 使っていないプラグインとテーマは削除する
無効化しているだけのプラグインやテーマも、ファイルはサーバーに残っています。使わないものは「無効化」で終わらせず、「削除」まで済ませておきます。
4. 長く更新されていないプラグインは入れない
「プラグイン」→「プラグインを追加」で探すと、プラグインのカードに「最終更新:」が出ています。何年も更新されていないものや、「使用中の WordPress バージョンで未検証」と出ているものは、作者がもう手を入れていない可能性があります。同じ機能の、更新が続いているものを選びましょう。
■ まとめ
- 更新が増えているのは、AI で調べる人が増え、見つかった穴をそのたびに直しているから
- 更新のお知らせが少ないことは、安全の証拠にはならない
- 脆弱性の大半は、本体ではなくプラグインとテーマ
- 危ないのは「WordPress」ではなく「更新していない WordPress」
- 自動更新を確かめ、使わないものは削除し、更新の続いているプラグインを選ぶ
WordPress は、怖がって避けるものではなく、更新しながら使うものです。
これから WordPress でサイトを作ってみようと思った方は、ブロックテーマとは?日本語対応のおすすめWordPressテーマ9選で、どんな見た目のサイトが作れるかを見てみてください。
■ 参考にした資料
- The Core Security Initiative（WordPress セキュリティチーム、2026年8月28日）
- WordPress 7.0.3 Release（WordPress.org、2026年8月6日）
- State of WordPress Security in 2026（Patchstack）
- CVE-2026-87902: Attackers Started Probing WordPress Sites Hours After the Patch（Patchstack）
この記事の内容は、2026年10月時点のものです。