更新ゼロでも安心？WordPressセキュリティ対策こっそり教えます

WordPressはなぜ狙われやすいのか

ホームページ制作、運用サポート、SEO対策、コンテンツマーケティング、そして何より「一緒に考える」こと。まずは対話から始めませんか?　　コスモ企画によると、WordPressは2024年時点で世界のウェブサイトの約43%を占めるCMS（コンテンツ管理システム）です。圧倒的なシェアを誇るがゆえに、サイバー攻撃者にとって「一度の手口で大量のサイトを攻撃できる」効率的な標的になっています。中小企業や個人サイトだからといって安心はできません。むしろ、セキュリティ対策が手薄なサイトほど自動化されたbotの餌食になりやすいのが現実です。以下の情報がお役に立つかもしれません。自己責任ではありますがお試しください。

攻撃の多くは「脆弱性の放置」から始まる

Wordfenceの調査によると、WordPressへの攻撃の90%以上は既知の脆弱性を悪用したものとされています。つまり、すでに「穴」が公開されているにもかかわらず、更新されていないプラグインやテーマを狙い撃ちにしているのです。ゼロデイ攻撃（未知の脆弱性への攻撃）よりも、「既知なのに放置された脆弱性」への攻撃のほうがはるかに多いという事実は、多くの運営者にとって意外かもしれません。

被害の実態：改ざん・情報漏洩・SEOスパム

不正アクセスの結果として起こる被害は、サイトの見た目が書き換えられる「改ざん」だけではありません。顧客の個人情報や決済情報の漏洩、Googleに「危険なサイト」として検知されることによる検索順位の急落、さらには自分のサイトが他サイトへのスパム攻撃の踏み台にされるケースも報告されています。被害に気づかないまま数ヶ月が経過していた、という事例も珍しくありません。

「更新しない」ことのリスクを正しく理解する

「更新したら画面が崩れた」「機能が動かなくなった」という経験から、更新を避けるようになった方は多いでしょう。その気持ちは十分に理解できます。しかし、更新しないことのリスクを正確に把握したうえで判断することが重要です。ここでは、特に注意が必要な3つのポイントを整理します。弊社の提案では、以下の提案が解決のきっかけになれば幸いでございます。ぜひ参考にしてください

弊社のモットーは、
１．弊社では断言しません。でも、誠実に向き合います。
２．弊社では押し付けません。でも、本気で提案します。
３．弊社では保証しません。でも、一緒に挑戦します。

「お役に立つかもしれません。自己責任ではありますが、お試しください」

プラグインの脆弱性：最も狙われるポイント

WordPress本体よりも、プラグインやテーマに含まれる脆弱性のほうが圧倒的に多く報告されています。CVE（共通脆弱性識別子）データベースを確認すると、毎月数十件から数百件のWordPress関連脆弱性が登録されています。特に無料プラグインや開発が止まった「放置プラグイン」は、脆弱性が修正されないまま公開され続けるケースがあり、非常に危険です。

WordPress本体のアップデートを止めるリスク

WordPress本体はセキュリティリリースと機能リリースに分かれており、セキュリティ修正のみを含むマイナーアップデート（例：6.4.1→6.4.2）はデフォルトで自動適用されます。しかしメジャーアップデートを長期間スキップし続けると、PHP互換性の問題が生じたり、古いバージョン固有の脆弱性を突かれたりするリスクが高まります。

使っていないプラグイン・テーマの「インストールしたまま放置」

有効化していないプラグインやテーマでも、ファイルがサーバー上に存在する限り攻撃の対象になります。「使っていないから大丈夫」という認識は誤りです。不要になったプラグインやテーマは、無効化するだけでなく「削除」まで行うことがセキュリティの基本です。

更新ゼロでもできるWordPressセキュリティ対策

「すぐに全部更新するのは怖い」「テスト環境がない」という現実的な事情がある場合でも、できることは数多くあります。以下に、更新作業なしでも今日から実施できる対策を優先度の高い順にご紹介します。

① ログインページのセキュリティ強化

WordPressへの不正アクセスの多くは、管理画面のログインページを総当たり攻撃（ブルートフォース攻撃）することで試みられます。デフォルトの「/wp-login.php」というURLは攻撃者も熟知しているため、以下の対策が有効です。

ログインURLの変更

「WPS Hide Login」などのプラグインを使えば、管理画面のURLを任意の文字列に変更できます。URLを知らなければログインページ自体にたどり着けないため、自動化されたbotによる攻撃を大幅に減らせます。

二段階認証（2FA）の導入

「Google Authenticator」や「Two Factor Authentication」プラグインを使うことで、パスワードに加えてスマートフォンの認証コードが必要な二段階認証を設定できます。万が一パスワードが漏洩しても、不正ログインを防ぐ強力な壁になります。

ログイン試行回数の制限

「Limit Login Attempts Reloaded」などのプラグインで、一定回数以上のログイン失敗をブロックできます。ブルートフォース攻撃の効果を著しく下げる、コストパフォーマンスに優れた対策です。

② WAF（ウェブアプリケーションファイアウォール）の導入

WAFは、悪意のある通信をWordPressに届く前にブロックするフィルターです。プラグインに脆弱性があったとしても、WAFが攻撃パターンを検知してブロックすることで被害を防げます。更新できない状況での「保険」として非常に有効です。

Wordfence Security（無料プランあり）

WordPressセキュリティプラグインの定番であるWordfenceには、WAF機能・マルウェアスキャン・ログイン保護が含まれています。無料版でも基本的な防御は可能で、中小規模のサイトであれば十分な効果を発揮します。ただし、無料版のWAFルールは有料版より30日遅れで更新されるため、高度なセキュリティが必要な場合は有料版の検討をおすすめします。

SiteGuard WP Plugin（日本語対応）

日本語対応のセキュリティプラグインで、ログインページの変更・画像認証（CAPTCHA）・コメントスパム対策などをまとめて設定できます。WordPressに不慣れな方でも直感的に操作できるUIが特徴です。

③ 定期バックアップの徹底

セキュリティ対策の最後の砦は「バックアップ」です。どんなに対策を講じても、ゼロリスクにはなりません。万が一改ざん・感染が起きたときに、クリーンな状態に素早く戻せるかどうかが被害を最小化するカギです。

UpdraftPlusによる自動バックアップ

「UpdraftPlus」は世界で300万以上のサイトで使われているバックアッププラグインです。Google ドライブやDropboxなどのクラウドストレージへの自動バックアップが設定でき、復元も数クリックで完了します。最低でも週1回、できれば毎日の自動バックアップを設定しましょう。

バックアップの保存先はサーバー外に

バックアップをサーバー内にのみ保存していると、サーバーが侵害された際にバックアップも同時に失うリスクがあります。必ずクラウドストレージや別サーバーなど、外部の場所に保存することが重要です。

④ ユーザー権限の見直しと管理者アカウントの整理

「admin」という初期ユーザー名を使っていたり、不要な管理者アカウントが複数存在したりしていませんか？攻撃者はまず「admin」というIDでのログインを試みます。管理者アカウントのIDを推測しにくい文字列に変更し、不要なアカウントは削除することで、不正アクセスのリスクを下げられます。

⑤ SSL（HTTPS化）とサーバー側セキュリティの確認

サイトがHTTPS化されていない場合、通信内容が盗聴されるリスクがあります。多くのレンタルサーバーでは無料のSSL証明書（Let’s Encrypt）が提供されているため、未対応の場合は早急に設定しましょう。またサーバー側でXMLRPCの無効化・ファイルパーミッションの適正化・PHPのバージョン管理なども、WordPressセキュリティの重要な要素です。

「更新できない」を解決する現実的なアプローチ

「更新したいけど壊れるのが怖い」という問題の根本は、テスト環境がないことや、更新後の動作確認に自信がないことがほとんどです。以下のアプローチで、更新への心理的ハードルを下げることができます。

ステージング環境を使った安全な更新テスト

多くの有料レンタルサーバー（エックスサーバー・ConoHa WINGなど）には、ワンクリックでテスト用の複製環境（ステージング）を作成する機能が含まれています。本番サイトに影響を与えずに更新をテストし、問題がなければ本番に反映する、というワークフローを確立することで「更新怖い」問題は大幅に解消されます。

更新の優先順位をつける

すべてを一度に更新しようとするからプレッシャーになります。まず「セキュリティ修正のみを含むアップデート」を優先し、次に「更新頻度が高く活発に開発されているプラグイン」、最後に「テーマや大規模プラグインのメジャーアップデート」という順番で対応すると、リスクを分散しながら安全性を高めていけます。

保守・管理サービスの活用

社内にWordPressの管理担当者がいない場合や、本業に集中したい場合は、WordPress保守サービスの利用も選択肢のひとつです。月額数千円〜数万円程度で、更新作業・バックアップ・セキュリティ監視をプロに任せることができます。サイトのトラブル対応コストと比較すれば、費用対効果は十分に高いといえます。

まとめ：「更新ゼロでも安心」は条件付きで可能

結論をお伝えします。「更新ゼロで完全に安心」は難しいですが、「更新が遅れていても被害リスクを大幅に下げること」は可能です。ログイン保護・WAF・バックアップの3点セットを整えるだけで、何も対策しないサイトとは雲泥の差のセキュリティレベルになります。

一方で、長期的にはプラグインやWordPress本体を適切に更新していくことが、最もコストの低いセキュリティ対策であることも事実です。まずできるところから始めて、少しずつ安全なサイト運用の仕組みを整えていきましょう。セキュリティ対策に不安がある方は、お気軽にコスモ企画へご相談ください。