WordPressの脆弱性は、なぜ毎年のように話題になるのか

「WordPressの脆弱性が公表されました」という一文を見て、正直なところ「またか」と思われた方もいるのではないでしょうか。

その感覚は、おそらく正しいです。WordPressの脆弱性は毎年のように話題になりますし、そのたびに更新を促す通知が届きます。慣れてしまうのも無理はありません。

ただ、2026年7月17日に公表されたものは、少し性質が違いました。本記事では、その内容を確認したうえで、「なぜ繰り返されるのか」という、もう少し根っこの部分についてお話しします。CMSを選び直す機会がある方にとっては、判断材料のひとつになるかもしれません。

この記事を読んでいる方におすすめ！

BlueMonkeyのすべてがわかる！

人気資料3点セット

CMS『BlueMonkey』のすべてがわかる人気資料3点セットを、まとめてダウンロードいただけます。 　　　　ホームページからの新規リード獲得・商談の創出に取り組まれる際には、ぜひこちらの資料をご活用ください。

ダウンロード

今回、何が起きたのか

公表されたのは2件の脆弱性です。単体ではそれぞれ限定的な影響にとどまりますが、この2つを組み合わせると、ログインなしで外部からプログラムを実行できてしまう。つまり、サイトを乗っ取られる可能性があります。

特別なプラグインを入れる必要はありません。標準的な構成のまま該当します。WordPress側が自動更新による強制的な配信に踏み切ったことからも、扱いの重さが伝わってきます。修正版は次のとおりです。まずはご利用中のバージョンをご確認ください。

自動更新が有効なサイトはすでに修正済みの場合がありますが、自動更新を止めているサイトや6.8系は手動対応が必要です。すぐに更新できない事情がある場合は、WAFで /wp-json/batch/v1 へのアクセスを遮断する一時的な緩和策もあります。

並べてみると、見えてくるもの

今回の2件だけを見ると、たまたま大きなものが出た、という話に見えます。ただ、今年公表されたものを並べてみると、印象が変わります。

半年で6件。しかも、本体とプラグインの両方から出ています。ひとつひとつは別々の出来事ですが、これだけ続くと「たまたま」では説明がつきません。

「またか」の正体

ここで念のため申し上げておくと、WordPressの品質が低い、という話ではありません。むしろ今回は、研究者が発見して報告し、その日のうちに修正版が公開され、世界中に自動配信されました。対応としてはかなり優秀な部類です。

では何が問題かというと、その後です。修正版が公開されても、それを自分のサイトに適用するのはサイト所有者の仕事です。他の業務に追われて後回しになる。更新でレイアウトが崩れた経験があって、触るのが怖い。理由はさまざまですが、結果として対応が積み残されていきます。

しかも、監視すべき対象は本体だけではありません。プラグインで自由に機能を追加できることはWordPressの大きな魅力ですが、追加した数だけ、更新情報を追いかける対象も増えていきます。先ほどの一覧でも、半数はプラグイン側で見つかったものでした。

脆弱性が見つかること自体は、どんなソフトウェアでも避けられません。分かれ目になるのは、修正が公開されてから、それが適用されるまでの時間です。

今回のように、修正版の公開直後から攻撃が始まるケースでは、この数日の差が結果を分けます。そしてこの時間は、CMSの性能ではなく、運用体制によって決まります。WordPressを選ぶということは、この対応工数をあらかじめ見込んでおく、ということでもあります。

では、どう選ぶか

更新対応を自社で回せる体制があるなら、WordPressは今も有力な選択肢です。拡張性の高さは他に代えがたいものがあります。

一方で、Web担当が兼務の一人だけ、というような体制であれば、話は変わってきます。弊社が提供するCMS「BlueMonkey」は、この更新の適用を提供元側で行う仕組みです。お客様側で脆弱性情報を追いかける必要がありません。

できることの幅では、WordPressに軍配が上がります。そこは正直にお伝えしておきます。裏を返せば、その自由度を使い切らないのであれば、手をかけずに運用し続けられることのほうが価値になる場面もある、ということです。

詳しくはこちら：BlueMonkey（ブルーモンキー）のセキュリティー対策

最後になりますが、今回の件について「自社のサイトが該当するのか分からない」「バージョンの確認方法が分からない」「更新して崩れないか不安で、手が止まっている」といったご相談も歓迎しております。

更新作業そのものを弊社で代行することはできませんが、状況の切り分けや、何から手をつけるべきかの整理はお手伝いできます。BlueMonkeyのご相談も、同じ窓口で承っております。

お問い合せはこちら：ご相談フォーム

※すでに改ざんや不審な動作など、被害が疑われる状況の場合は、IPA（情報処理推進機構）の情報セキュリティ安心相談窓口や、サイトの制作・保守をご依頼されている事業者へ、至急ご連絡ください。

参考： WordPress公式リリース情報

WordPressがサイト乗っ取りにつながる深刻な脆弱性を修正、すでに攻撃も発生（ビジネス+IT）

以下のステップに沿ってフォーム入力することで、資料ダウンロードいただけます。

BlueMonkeyのすべてがわかる！資料3点セット

この資料では以下のことを紹介しています。

• CMS『BlueMonkey』の概要資料
• 導入後の平均CV増加率243%！
  クラウドサーカスのホームページ制作のご紹介
• BlueMonkeyの事例インタビュー集

新しいWindowで開きます

この記事を書いた人

クラウドサーカス株式会社 ウェブプロモーション事業部 部長

長谷川 潤

プロフィール

1979年生まれ 福島県出身。アパレル業界でキャリアをスタートし、ECサイトの立ち上げと運用を通じてWebマーケティングの世界へ。その後、デジタルマーケティング領域の専門性を深めるべく、スターティアラボ株式会社（現：クラウドサーカス株式会社）に入社。2009年以降、10年以上にわたりBtoB企業向けのWebサイト構築を手がけ、コンバージョン最大化を軸に多数のプロジェクトを支援。2023年からはウェブプロモーション事業部の責任者として、新規顧客獲得を目指すBtoB企業のマーケティング活動を牽引しています。