WordPressの脆弱性対策は何をする？小さなお店が今日確かめる5つと頼み方

01WordPressの脆弱性とは

WordPressは、ホームページを作って更新するための道具です。世界中で使われているぶん、弱点が見つかると多くのサイトがねらわれます。

弱点が見つかると、WordPressを作っている側が直した版を出します。直した版に入れかえるまで、すき間は開いたままです。

プラグインは、予約や問い合わせフォームなどの機能を足す部品のこと。テーマは、ページの見た目を決めるひな形です。どちらも本体とは別に更新が要ります。

入りこまれると、知らない広告のページを足されたり、お客さんが別のサイトへ飛ばされたりします。自分のサイトがWordPressかわからないときは、作った会社に「うちのサイトはWordPressですか」と聞けば答えがわかります。

022026年7月のIPAの注意喚起

IPAは2026年7月22日に「WordPressの脆弱性対策について（wp2shell）」を出しました。2つの弱点を組み合わせると、管理者でなくても外からサーバーでプログラムを動かされるおそれがあるという内容です。

出典はIPAのWordPressの脆弱性対策についてです（2026年10月30日に確認）。版の番号はこのあとも新しくなります。見分け方はかんたんで、管理画面の「更新」のページに、更新を求めるお知らせが出ていなければ最新です。

03今日確かめる5つのこと

管理画面に入れる人は、次の5つを見てください。いちばん先に見るのは本体の版です。

• 管理画面の「ダッシュボード」→「更新」で、WordPressが最新の版か
• 同じ画面で、更新が残っているプラグインとテーマがないか
• 使っていないプラグインが入ったままになっていないか
• 管理画面のパスワードが、店名や電話番号など推測しやすい文字でないか
• サイトのデータを保存しておく仕組み（バックアップ）があるか

管理画面は、サイトの文章や設定を変えるための入口のページです。IDとパスワードがわからないときは、次の見出しの頼み方に進んでください。

04自分で触れないときの頼み方

パソコンが苦手なら、無理に触らなくてかまいません。作った会社にそのまま言える一言で頼みます。

1. 作った会社を探す契約書・請求書・通帳やカードの明細の会社名を見ます
2. 一言で頼む「IPAのWordPressの注意喚起を見ました。本体とプラグインを最新にしてもらえますか」
3. 費用を先に聞く保守契約に入っているか、1回いくらかを聞きます
4. 終わったら版を聞く「今の版の番号を教えてください」と確かめます

保守契約は、サイトの更新や見守りを毎月まかせる契約のこと。入っていない場合は、そのつどの料金になることがあります。

契約書も明細も見つからないときは、サイトのいちばん下に会社名が書かれていないかを見ます。それでもわからなければ、次の見出しの「だれも管理していないとき」と同じ進め方になります。

05だれも管理していないときの次の一歩

作った会社がなくなった・連絡がつかない・保守が切れているお店もあります。放っておくのがいちばん危ない状態なので、次のどれかを選びます。

サーバーは、ホームページのデータを置いておく場所です。サーバーの会社のIDがわからないときは、毎月の引き落としの明細から会社名を探します。

作り方ホームページを作り直すタイミングと進め方→

06入りこまれたかもと思ったら

知らないページが増えている・見たことのない広告が出る・管理画面に入れない。こうしたときはまず作った会社かサーバーの会社に連絡します。

1. 画面を残すおかしな画面をスマホで撮っておきます
2. 連絡する作った会社かサーバーの会社に、いつ気づいたかを伝えます
3. パスワードを変える管理画面とサーバーの両方を変えてもらいます
4. 相談するIPAの「情報セキュリティ安心相談窓口」でも相談できます

07WordPressを使わない作り方もある

WordPressは自分で更新できて便利な道具です。そのかわり、本体とプラグインの更新をずっと続ける必要があります。

どちらがよいかは、自分で更新したいかどうかで決まります。毎月の維持にかかるお金は別の記事でくらべています。

費用ホームページの維持費はいくら？→

08よくある質問

お店の方から出そうな質問に答えます。小さなサイトでもねらわれることは知っておいてください。

Q小さなお店のサイトもねらわれますか？

A

IPAの注意喚起も、お店の大きさではなく版の番号で影響を分けています。古い版なら、小さなサイトでも同じすき間が開いています。

Qhttps（鍵のマーク）があれば安全ですか？

A

httpsは、やりとりする中身を見られないようにする仕組みです。WordPressの弱点とは別の話なので、更新は必要です。

Q自動更新にしておけば大丈夫？

A

IPAの案内でも、設定や失敗で更新されていないことがあるとされています。管理画面で版を見て確かめてください。

運用「保護されていない通信」と出たときの直し方→

09要点のふりかえり

今日できる最初の一歩は、作った会社に「今のWordPressの版を教えてください」と聞くことです。

更新の手間ごと手放したい方には、まるっとホームページという方法もあります。WordPressを使わない作りで、サーバー・ドメイン（お店のURL）・SSL（https）・保守は月額に含みます。ベーシックは月8,980円（5ページ）、ワイドは月15,980円（20ページ）で、どちらも税別・最低6か月です。1年の合計（月額×12）はベーシック107,760円・ワイド191,760円（税別）。ドメインはお客さまの名義で取り、6か月以上使ったあとの解約ならドメインとデータをお渡しできます。くわしい決まりは料金のページにあります。

料金料金・プランをくわしく見る→

サービス全体はまるっとホームページのトップから見られます。